یک آسیب‌پذیری از نوع Stored Cross-Site Scripting (XSS) در افزونه PO/MO Editor وردپرس شناسایی شده است که تمامی نسخه‌های این افزونه تا نسخه 1.4.2 را تحت تأثیر قرار می‌دهد.
جزئیات فنی
این نقص امنیتی به دلیل عدم پاک‌سازی مناسب ورودی‌ها (Input Sanitization) و عدم گریز از خروجی‌ها (Output Escaping) در پارامتر podata رخ داده است. در نتیجه، مهاجمانی که دارای دسترسی احراز شده (حتی در سطح Subscriber و بالاتر) هستند، می‌توانند اسکریپت‌های وب دلخواه خود را در صفحات تزریق کنند.
مکانیسم حمله
مهاجم با استفاده از این آسیب‌پذیری، کد مخرب را به عنوان جایگزینی برای فایل‌های ترجمه .po و .mo از طریق فیلتر load_textdomain_mofile در افزونه تزریق می‌کند. هنگامی که کاربران دیگر یا مدیران سایت به صفحات متأثر دسترسی پیدا کنند، این اسکریپت‌ها در مرورگر آن‌ها اجرا شده و می‌تواند منجر به سرقت نشست‌ها (Session Hijacking) یا اجرای دستورات غیرمجاز در محیط مرورگر شود.
