CVE-2021-24556

Plugin Email Subscriber para WordPress, versões 1.1 e anteriores

A ação AJAX kento email subscriber ajax não realiza a sanitização, validação e escape adequadas dos parâmetros POST subscribe email e subscribe name enviados. Esses parâmetros são inseridos no banco de dados e, em seguida, exibidos na lista de assinantes no endpoint “/wp-admin/edit.php?post type=kes campaign&page=kento email subscriber list settings”, levando a uma vulnerabilidade de XSS armazenado.

Para as versões 1.1 e anteriores do plugin Email Subscriber para WordPress, considere desativar a ação AJAX kento email subscriber ajax até que um patch esteja disponível. Restrinja o acesso à página da lista de assinantes para minimizar o risco de exploração. Evite usar os parâmetros subscribe email e subscribe name no endpoint AJAX afetado até que a vulnerabilidade seja resolvida. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.