关键漏洞信息 漏洞描述 类型: 存储型XSS (Stored Cross-Site Scripting) 受影响插件: Photo Gallery by 10Web < 1.8.29 问题: 插件未对某些设置进行清理和转义，允许高权限用户（如管理员）执行存储型XSS攻击，即使在禁用 功能的情况下（例如在多站点设置中）。 概念验证 (PoC) 1. 添加新图库。 2. 在“标题”字段中添加有效载荷 。 3. 保存设置。 4. 在图库列表中，将鼠标悬停在缩略图上查看XSS效果。 影响的插件 插件名称: photo-gallery 修复版本: 1.8.29 参考资料 CVE编号: CVE-2024-8670 URL: https://research.cleantalk.org/cve-2024-8670/ 分类 类型: XSS OWASP Top 10: A7 - 跨站脚本 (XSS) CWE编号: CWE-79 CVSS评分: 3.8 (低) 其他信息 原始研究员: Dmitrii Ignatyev 提交者: Dmitrii Ignatyev 提交者网站: https://www.linkedin.com/in/dmitriy-ignatyev-8a9189267/ 验证状态: 已验证 WPVDB ID: 50665594-778b-42f5-bfba-2a249a5e0260 时间线 公开发布日期: 2024-08-08 添加日期: 2024-10-03 最后更新日期: 2024-10-03