リモートホストにインストールされているバージョンの WordPress 用の Slideshow プラグインは、「settings.php」スクリプトの「settings」および「inputFields」パラメーターへのユーザー指定の入力を、動的 HTML 出力を生成するために使用する前に、適切にサニタイズできません。攻撃者は、これらの問題を利用して、任意の HTML およびスクリプトコードをユーザーのブラウザに注入し、影響を受けるサイトのセキュリティコンテキストで実行することができます。
この脆弱性の悪用するには、PHP の「register_globals」設定が「on」に設定されている必要があります。

注意：このインストールは、報告によると、複数のパス漏洩だけでなく、さらなるクロスサイトスクリプティングの問題の影響も受けますが、Nessus はこれらの問題をテストしていません。

検出

WorldPress の Slideshow プラグイン上の「settings.php」の複数のパラメーター XSS

medium Nessus プラグイン ID 63302

変更ログが見つかりません