リモートホストで実行されているWordPressアプリケーションには、複数の脆弱性の影響を受けるバージョンの「Email Subscribers & Newsletters」プラグインがあります。

  - send_test_emailコンポーネントにクロスサイトリクエスト偽造（CSRF）の脆弱性が存在します。認証されていないリモートの攻撃者がこれを悪用し、巧妙に作りこまれたWebページにアクセスするようユーザーを誘導して、偽造された電子メールを送信させる可能性があります。（CVE-2020-5767）

  - es_newsletters_settings_callbackコンポーネントに、ユーザー指定の入力を不適切にサニタイズすることによる、ブラインドSQLインジェクションの脆弱性が存在します。認証されたリモートの攻撃者がこれを悪用し、巧妙に作りこまれたリクエストを介して、秘密情報を漏洩する可能性があります。（CVE-2020-5768）

Nessusはこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

検出

WordPress Plugin「EmailSubscribers & Newsletters」の複数の脆弱性

medium Nessus プラグイン ID 139873

バージョン 1.5