Плагин Smart Manager WordPress до версии 8.92.0 неправильно кодирует поле сообщения перед его преобразованием в атрибут HTML в сетке управления, что позволяет пользователям с ролью участника или выше вставлять JavaScript, который выполняется в сеансе браузера администратора, просматривающего сетку.
Показать оригинальное описание (EN)
The Smart Manager WordPress plugin before 8.92.0 does not properly encode a post field before rendering it into an HTML attribute in its management grid, allowing users with the Contributor role or above to inject JavaScript that executes in the browser session of an administrator who views the grid.
Характеристики атаки
Способ атаки
По сети
Атака возможна удалённо
Сложность
Низкая
Легко эксплуатировать
Нужны права
Высокие
Нужны права администратора
Участие пользователя
Требуется
Нужно действие пользователя
Последствия
Конфиденциальность
Низкое
Частичная утечка данных
Целостность
Низкое
Частичная модификация данных
Доступность
Нет
Нет нарушения работы
Строка CVSS v3.1