L33Ch

**Nome do Software Vulnerável e Versões Afetadas** Plugin Auto Attachments para WordPress, versões até e incluindo a 1.8.5 **Descrição** A questão está relacionada a Stored Cross-Site Scripting via configurações de administração, devido à sanitização de entrada e escape de saída insuficientes. Isso permite que atacantes autenticados com permissões de nível de administrador injetem scripts web arbitrários em páginas, os quais serão executados sempre que um usuário acessar uma página injetada. A questão afeta apenas instalações multisite e instalações onde o recurso unfiltered html foi desativado. **Recomendações** Para versões até e incluindo a 1.8.5, atualize para uma versão que inclua as correções necessárias de sanitização de entrada e escape de saída para prevenir ataques de Stored Cross-Site Scripting. Como medida paliativa temporária, considere restringir permissões de nível de administrador e o acesso às configurações de administração para minimizar o risco de exploração.

**Nome do Software Vulnerável e Versões Afetadas** Plugin Developer Formatter para WordPress versões até, e incluindo, 2015.0.2.1 **Descrição** O problema está relacionado ao Cross-Site Scripting Armazenado via CSS Personalizado, causado por sanitização de entrada e escape de saída insuficientes. Isso permite que atacantes autenticados com acesso de nível de administrador injetem scripts web arbitrários em páginas, que serão executados quando um usuário acessar uma página injetada. O problema afeta apenas instalações multisite e instalações onde o unfiltered html foi desativado. **Recomendações** Para versões até, e incluindo, 2015.0.2.1, atualize para uma versão que corrija a sanitização de entrada e o escape de saída insuficientes no recurso de CSS Personalizado para prevenir ataques de Cross-Site Scripting Armazenado. Como solução temporária, considere restringir o acesso de nível de administrador e desativar o recurso de CSS Personalizado até que uma correção esteja disponível.