WordPress · All-In-One-Wp-Security-And-Firewall · CVE-2021-25102
**Nome do software vulnerável e versões afetadas**
Versões do plugin All In One WP Security & Firewall para WordPress anteriores à 4.4.11
**Descrição**
O problema decorre da falta de validação, sanitização e escapamento do parâmetro `redirect to`, o que pode levar a problemas de redirecionamento arbitrário e Cross-Site Scripting quando o recurso Renomear Página de Login está ativo. A exploração requer conhecimento do valor da URL da Página de Login, o que é considerado difícil de adivinhar, reduzindo assim o risco.
**Recomendações**
Para versões anteriores à 4.4.11, atualize para a versão 4.4.11 ou posterior para resolver o problema. Como solução temporária, considere desativar o recurso “Renomear Página de Login” até que um patch esteja disponível. Restrinja o acesso à página de login para minimizar o risco de exploração. Evite usar o parâmetro `redirect to` no plugin afetado até que o problema seja resolvido.