「AIマーケティングエキスパート」というWordPressのプラグイン（AIメールマーケティング、AIコンテンツ生成、SEOアナライザー、AIワークフロー自動化、ソーシャルメディア＆AIチャットボットなど）は、バージョン1.2.8を含むすべてのバージョンにおいて、入力データの検証と出力のエスケープが不十分であるため、'name'パラメータを介した、保存型のDOMベースのクロスサイトスクリプティングの脆弱性があります。これにより、認証されていない攻撃者が、任意のWebスクリプトをページに注入し、ユーザーがそのページにアクセスするたびに実行させることが可能になります。この脆弱性を悪用するには、チャットボットモジュールが有効になっており、少なくとも1つのボットが設定されている必要があります。攻撃者は、3つの認証されていないRESTリクエストを通じてペイロードを保存し、JavaScriptウィジェットが自動的にポーリングを行い、wp-admin/index.phpを開いた管理者に対してそのペイロードを配信します。
CVSS 3.1: 7.2 (高い) (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:L/I:L/A:N)