Плагин Youtube Showcase для WordPress уязвим к хранимому межсайтовому сценарию в версиях до 4.0.4 включительно через короткий код «emd_mb_meta». Это связано с недостаточной очисткой ввода и экранированием вывода в заголовках вложений, на которые ссылается поле изображения короткого кода: EMD_MB_Helper::image_info() возвращает необработанный post_title вложения, а EMD_MB_Helper::shortcode() интерполирует его в HTML-атрибуты title="%s" через sprintf() без esc_attr(). Это позволяет аутентифицированным злоумышленникам с доступом на уровне автора и выше (возможность upload_files необходима для создания вложения, edit_posts/publish_posts для внедрения короткого кода) внедрять произвольные веб-скрипты на страницы, которые будут выполняться всякий раз, когда пользователь обращается к внедренной странице.
Показать оригинальное описание (EN)
The Youtube Showcase plugin for WordPress is vulnerable to Stored Cross-Site Scripting in versions up to, and including, 4.0.4 via the 'emd_mb_meta' shortcode. This is due to insufficient input sanitization and output escaping on attachment titles referenced by the shortcode's image field: EMD_MB_Helper::image_info() returns the attachment's raw post_title, and EMD_MB_Helper::shortcode() interpolates it into title="%s" HTML attributes via sprintf() without esc_attr(). This makes it possible for authenticated attackers, with author-level access and above (upload_files capability required to create the attachment, edit_posts/publish_posts to embed the shortcode), to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.
Характеристики атаки
Последствия
Строка CVSS v3.1