漏洞起因
跨站脚本错误
危险等级
中
影响系统
WordPress Smart Flv Plugin
不受影响系统
危害
远程攻击者可以利用漏洞可获取敏感信息或劫持用户会话。
攻击所需条件
攻击者必须构建恶意URI，诱使用户解析。
漏洞信息
WordPress Smart Flv插件用于把FLV视频插入到Wordpress博客中。
WordPress Smart Flv插件jwplayer.swf存在反射型跨站脚本漏洞，允许攻击者构建恶意URI，诱使用户解析，可获取敏感信息或劫持用户会话。
测试方法
https://www.example.com/wp-content/plugins/smart-flv/jwplayer.swf?file=1.mp4&link=javascript:alert%28%22horse%22%29&linktarget=_self&displayclick=link
https://www.example.com/wp-content/plugins/smart-flv/jwplayer.swf?playerready=alert%28%22horse%22%29
厂商解决方案
目前没有详细解决方案提供：
http://wordpress.org/extend/plugins/smart-flv/
漏洞提供者
Henri Salo
评论关闭。