WP Admin UI Customize < 1.5.13 存在存储型XSS漏洞

漏洞描述

WP Admin UI Customize 是 WordPress 的一款自定义管理界面的插件。

即使禁用 unfilter _ html 功能，WP Admin UI Customize 在 1.5.13 之前的版本中仍然没有正确过滤用户的输入内容。具有 WordPress 站点管理员及以上用户权限的攻击者可通过在登录表单中输入恶意 payload 如（123" onmouseenter=alert(/XSS/) "）进行存储型 XSS 攻击，刷新或重新进入页面时触发攻击者控制的恶意 JavaScript 代码。

漏洞名称	WP Admin UI Customize < 1.5.13 存在存储型XSS漏洞
漏洞类型	XSS
发现时间	2022-11-28
漏洞影响广度	小
MPS编号	MPS-2022-62889
CVE编号	CVE-2022-3824
CNVD编号	-

影响范围

WP Admin UI Customize@(-∞, 1.5.13)

修复方案

升级WP Admin UI Customize到 1.5.13 或更高版本

参考链接

https://www.oscs1024.com/hd/MPS-2022-62889

https://nvd.nist.gov/vuln/detail/CVE-2022-3824

https://wpscan.com/vulnerability/3ca6d724-cd79-4e07-b8d0-a8c1688abf16

    

情报订阅

OSCS(开源软件供应链安全社区)通过最快、最全的方式，发布开源项目最新的安全风险动态，包括开源组件安全漏洞、事件等信息。同时提供漏洞、投毒情报的免费订阅服务，社区用户可通过配置飞书、钉钉、企业微信机器人，及时获得一手情报信息推送：

https://www.oscs1024.com/cm/?src=osc

具体订阅方式详见：

https://www.oscs1024.com/docs/vuln-warning/intro/?src=osc