Podatności CSS & JavaScript Toolbox

Wtyczka CSS & JavaScript Toolbox dla WordPress jest podatna na przechowywany Cross-Site Scripting (Stored XSS) poprzez shortcode cjtoolbox we wszystkich wersjach do 12.0.6 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych atrybutów dostarczonych przez użytkownika. Umożliwia to uwierzytelnionym atakującym z uprawnieniami współtwórcy i wyższymi wstrzyknięcie dowolnych skryptów do stron, które wykonają się przy każdej wizycie użytkownika.

Wtyczka CSS & JavaScript Toolbox dla WordPress jest podatna na trwałe Cross-Site Scripting we wszystkich wersjach do 12.0.6 włącznie, poprzez pola Assignment Engine. Wynika to z niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych w polach Expressions, URLs i Advanced assignment data.

Wtyczka CSS & JavaScript Toolbox dla WordPress jest podatna na przechowywany Cross-Site Scripting (Stored XSS) poprzez ustawienia administracyjne we wszystkich wersjach do 12.0.5 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Uwierzytelniony atakujący z uprawnieniami administratora lub wyższymi może wstrzyknąć dowolne skrypty internetowe do stron, które wykonają się przy każdej wizycie użytkownika na zainfekowanej stronie. Podatność dotyczy wyłącznie instalacji multi-site oraz instalacji, w których wyłączono unfiltered_html.