Плагин EM Cost Calculator для WordPress уязвим к хранимым межсайтовым сценариям в версиях до 2.3.1 включительно. Это связано с тем, что плагин хранит контролируемые злоумышленником данные «имя_клиента» и отображает их в списке клиентов администратора без экранирования вывода. Это позволяет неаутентифицированным злоумышленникам внедрять произвольные веб-скрипты, которые выполняются, когда администратор просматривает страницу клиентов EMCC.
Показать оригинальное описание (EN)
The EM Cost Calculator plugin for WordPress is vulnerable to Stored Cross-Site Scripting in versions up to, and including, 2.3.1. This is due to the plugin storing attacker-controlled 'customer_name' data and rendering it in the admin customer list without output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts that execute when an administrator views the EMCC Customers page.
Характеристики атаки
Последствия
Строка CVSS v3.1