CVE:CVE-2021-25060
CNNVD:CNNVD-202202-1698
WordPress是Wordpress基金会的一套使用PHP语言开发的博客平台。该平台支持在PHP和MySQL的服务器上架设个人博客网站。WordPress plugin是WordPress开源的一个应用插件。
WordPress plugin Five Star Business Profile and Schema 2.1.7之前版本存在跨站脚本漏洞，该漏洞源于插件在其 bpfwp_welcome_add_contact_page 和 bpfwp_welcome_set_contact_information AJAX 操作中没有任何授权和跨站请求伪造token校验，允许任何经过身份验证的用户(如订阅者)调用它们。此外，由于缺乏过滤和转义，它还会导致存储跨站点脚本问题。
solution:Upgrade fivestarplugins five_star_business_profile_and_schema to a higher version than 2.1.7,and avoid the version (,2.1.7)