关键漏洞信息 描述 漏洞类型: Admin+ Stored XSS 受影响插件: DL Yandex Metrika <= 1.2 问题: 插件未对某些设置进行清理和转义，允许高权限用户（如管理员）执行存储型跨站脚本攻击，即使在禁用未过滤HTML功能的情况下（例如在多站点设置中）。 概念验证 (PoC) 1. 访问 2. 在“Введите сайт из списка”字段中输入payload: 3. 保存并查看XSS效果。 影响的插件 插件名称: dl-yandex-metrika 修复情况: 尚无已知修复 参考资料 CVE编号: CVE-2024-6462 分类 类型: XSS OWASP Top 10: A7: Cross-Site Scripting (XSS) CWE编号: CWE-79 CVSS评分: 3.5 (低) 其他信息 原始研究员: Bob Matyas 提交者: Bob Matyas 提交者网站: https://www.bobmatyas.com 提交者Twitter: bobmatyas 验证状态: 已验证 WPVDB ID: 0880fa33-3efa-4f50-83c8-4c90cb805eb9 时间线 公开发布日期: 2024-06-07 (约11个月前) 添加日期: 2024-08-06 (约9个月前) 最后更新日期: 2024-08-06 (约9个月前)