CVE:CVE-2022-0661
CNNVD:CNNVD-202204-3726
WordPress和WordPress plugin都是WordPress基金会的产品。WordPress是一套使用PHP语言开发的博客平台。该平台支持在PHP和MySQL的服务器上架设个人博客网站。WordPress plugin是一个应用插件。
WordPress plugin Ad Injection存在代码注入漏洞，该漏洞源于1.2.0.19 之前的 Ad Injection WordPress 插件无法正确清理注入页面的广告正文，即使不允许使用 unfiltered_html，也允许高权限用户 (Admin+) 注入任意 HTML 或 javascript，从而导致存储的跨站点脚本(XSS) 漏洞。此外，即使同时设置了 DISALLOW_FILE_EDIT 和 DISALLOW_FILE_MOD 常量，也可能注入 PHP 代码，从而导致远程代码执行 (RCE) 漏洞。
solution:Upgrade ad_injection_project ad_injection to a higher version than 1.2.0.19,and avoid the version (,1.2.0.19]