CVE-2021-47975
WysokieStreszczenie
WP Learn Manager w wersji 1.1.2 zawiera podatność na przechowywane ataki XSS, która pozwala nieautoryzowanym atakującym na wstrzykiwanie złośliwych skryptów przez parametr `fieldtitle`. Atakujący mogą wysyłać żądania POST do strony jslm_fieldordering z ładunkami XSS w polu fieldtitle, co pozwala na wykonanie dowolnego kodu JavaScript, gdy administratorzy przeglądają interfejs porządkowania pól.
Ocena ryzyka
Podatność ta stwarza ryzyko wykonania złośliwego kodu JavaScript w kontekście przeglądarki administratora, co może prowadzić do kradzieży danych lub przejęcia kontroli nad kontem administratora.
Rekomendacja
Zaleca się aktualizację WP Learn Manager do najnowszej wersji, aby usunąć tę podatność oraz monitorowanie logów w celu wykrycia potencjalnych prób ataków.
Oryginalny opis (angielski, źródło NVD)
WP Learn Manager 1.1.2 contains a stored cross-site scripting vulnerability that allows unauthenticated attackers to inject malicious scripts through the `fieldtitle` parameter. Attackers can submit POST requests to the jslm_fieldordering page with XSS payloads in the fieldtitle field to execute arbitrary JavaScript when administrators view the field ordering interface.