遠端主機上安裝的 Slideshow Plugin for WordPress 版本無法正確清理使用者對 'settings.php' 指令碼之 'settings' 與 'inputFields' 參數提供的輸入，然後再將其用於產生動態 HTML 輸出。攻擊者可利用這些問題，將任意 HTML 和指令碼插入使用者的瀏覽器，以便在受影響網站的安全性內容中執行。
成功惡意利用這些弱點需要將 PHP 的 'register_globals' 設定設為 'on'。

請注意，據報該安裝項目也受到一個其他跨網站指令碼問題，以及多路徑洩漏弱點影響；但 Nessus 尚未針對這些問題進行測試。

偵測

適用於 WordPress 的 Slideshow 外掛程式 'settings.php' 多個參數 XSS

medium Nessus Plugin ID 63302

找不到變更記錄