Плагин Nested Pages WordPress до версии 3.2.15 неправильно экранирует заголовки сообщений перед их выводом в HTML-атрибуты на экране административного списка, позволяя пользователям с ролью редактора (или участника/автора, когда плагин Nested Pages WordPress до версии 3.2.15 включен для типа сообщения) вставлять произвольный JavaScript, который выполняется в сеансе любого пользователя с более высокими привилегиями, который просматривает этот экран.
Показать оригинальное описание (EN)
The Nested Pages WordPress plugin before 3.2.15 does not properly escape post titles before outputting them into HTML attributes on an administrative listing screen, allowing users with the Editor role (or Contributor/Author when the Nested Pages WordPress plugin before 3.2.15 is enabled for the post type) to inject arbitrary JavaScript that executes in the session of any higher-privileged user who views that screen.
Характеристики атаки
Последствия
Строка CVSS v3.1