Плагин Infility Global WordPress до версии 2.9.8 не очищает и не экранирует параметр перед его выводом обратно на страницу, что приводит к отраженному межсайтовому сценарию, который может использоваться против пользователей с высокими привилегиями, таких как администратор.
Показать оригинальное описание (EN)
The Infility Global WordPress plugin through 2.9.8 does not sanitise and escape a parameter before outputting it back in the page, leading to a Reflected Cross-Site Scripting which could be used against high privilege users such as admin.
Характеристики атаки
Способ атаки
По сети
Атака возможна удалённо
Сложность
Низкая
Легко эксплуатировать
Нужны права
Не требуются
Права не нужны
Участие пользователя
Требуется
Нужно действие пользователя
Последствия
Конфиденциальность
Низкое
Частичная утечка данных
Целостность
Низкое
Частичная модификация данных
Доступность
Нет
Нет нарушения работы
Строка CVSS v3.1
Тип уязвимости (CWE)
Уязвимые продукты 1
| Конфигурация | От (включительно) | До (исключительно) |
|---|---|---|
|
Infility Infility_Global
cpe:2.3:a:infility:infility_global:*:*:*:*:*:wordpress:*:*
|
— |
<= 2.9.8
|