漏洞信息
# Login Manager – 设计登录页面，查看登录活动，限制登录尝试<= 2.0.5 - 验证的（管理员+）通过自定义URL的Stored跨站脚本攻击
## 漏洞概述
Login Manager – Design Login Page, View Login Activity, Limit Login Attempts 插件存在存储型跨站脚本（XSS）漏洞，通过自定义logo和背景URL注入恶意脚本。
## 影响版本
所有版本，包括2.0.5及以下版本。
## 漏洞细节
该漏洞源于对用户输入数据的清理和输出转义不足，使得具有管理员权限的认证攻击者能够在用户访问受影响页面时执行任意恶意脚本。
## 影响
仅影响启用了多站点安装和禁用了unfiltered_html功能的WordPress环境。
备注
尽管我们采用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。
神龙会尽力确保数据准确，但也请结合实际情况进行甄别与判断。
神龙祝您一切顺利！
漏洞标题
Login Manager – Design Login Page, View Login Activity, Limit Login Attempts <= 2.0.5 - Authenticated (Administrator+) Stored Cross-Site Scripting via Custom URL
漏洞描述信息
The Login Manager – Design Login Page, View Login Activity, Limit Login Attempts plugin for WordPress is vulnerable to Stored Cross-Site Scripting via Custom logo and background URLs in all versions up to, and including, 2.0.5 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with administrator-level permissions and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. This only affects multi-site installations and installations where unfiltered_html has been disabled.
CVSS信息
CVSS:3.1/AV:N/AC:H/PR:H/UI:N/S:C/C:L/I:L/A:N
漏洞类别
在Web页面生成时对输入的转义处理不恰当(跨站脚本)