Плагин weForms для WordPress уязвим для Хранимого межсайтового сценария через конечную точку ввода REST API во всех версиях до 1,6.27. Это …

Плагин weForms для WordPress уязвим для Хранимого межсайтового сценария через конечную точку ввода REST API во всех версиях до 1,6.27. Это связано с непоследовательной санизацией ввода между фронтенд-обработчиком AJAX и конечной точкой REST API. Когда записи подаются через REST API (`/wp-json/weforms/v1/forms/v1/forms/{id}/ints/`), метод «prepare_entry()` в `class-abstract-fields.php` получает объект WP_REST_Request как `$args`, минуя заднюю часть `weforms_clean()`, которая обеззараживала `$_POST` данные для интерфейсных представлений. Обработчик базового поля применяет только `trim()` к стоимости. Это позволяет аутентифицированным злоумышленникам с доступом на уровне подписчиков и выше вводить произвольные веб-скрипты в скрытые значения поля ввода формы через REST API, которые выполняются, когда администратор просматривает страницу вводов формы, где данные отображается с помощью директивы Vue.js `v-html` без побега.