Chained Quiz (WordPress-Plugin): Unauthentifiziertes Cross-Site Scripting
Das WordPress-Plugin Chained Quiz bis einschliesslich Version 1.4.1 enthält eine Cross-Site-Scripting-Schwachstelle (XSS, CWE-79), die ohne Authentifizierung ausgelöst werden kann. Ein Angreifer kann schädliche Skripte in betroffene Seiten einschleusen, mit denen Besucherdaten gestohlen oder Besucher phishing-artig angegriffen werden können; wird ein Administrator zu einem präparierten Link gelockt, kann der Angreifer zudem in dessen Admin-Sitzung handeln. Für die Ausnutzung muss ein Opfer interagieren, etwa indem es einen präparierten Link oder eine präparierte Seite öffnet.
Kiboko Labs · Chained Quiz
