Ce bulletin a été rédigé par Vigil@nce : http://vigilance.fr/offre

SYNTHÈSE DE LA VULNÉRABILITÉ

Un attaquant peut employer un Cross Site Scripting dans le plugin
WordPress VKontakte API, afin d’exécuter du code JavaScript avec
les privilèges de l’utilisateur.

Produits concernés : WordPress

Gravité : 2/4

Date création : 14/03/2013

DESCRIPTION DE LA VULNÉRABILITÉ

Le plugin VKontakte API pour WordPress permet d’interagir avec le
site VKontakte.ru (vk.com). L’animation Flash tagcloud.swf permet
de créer un nuage de mots.

Cependant, le fichier tagcloud.swf de ce plugin ne filtre pas
correctement ses entrées, avant de les afficher.

Un attaquant peut donc employer un Cross Site Scripting dans le
plugin WordPress VKontakte API, afin d’exécuter du code JavaScript
avec les privilèges de l’utilisateur.

ACCÈS AU BULLETIN VIGIL@NCE COMPLET

http://vigilance.fr/vulnerabilite/WordPress-Cross-Site-Scripting-de-VKontakte-API-tagcloud-swf-12521