Многичесленные уязвимости в Register Plus Redux для WordPress

Здравствуйте 3APA3A!

Сообщаю вам о найденных мною многочисленных Cross-Site Scripting
уязвимостях в плагине Register Plus Redux для WordPress.

XSS (persistent) (WASC-08):

Есть много persistent XSS уязвимостей в настойках плагина
(http://site/wp-admin/options-general.php?page=register-plus-redux).
В полях: Enable Password Strength Meter (Short, Bad, Good, Strong)
Grace Period, Invitation Code, Disclaimer Title, Disclaimer Content,
Agreement Text, License Title, License Content, Agreement Text,
Privacy Policy Title, Privacy Policy Content, Agreement Text,
Required Field Style Rules, Custom Field, Extra Options, Date Format,
First Selectable Date, Default Year, Customize User Notification
Email (From Email, From Name, Subject, User Message, Login Redirect
URL), Customize Admin Notification Email (From Email, From Name,
Subject, Admin Message), Custom Register CSS, Custom Login CSS.

Код сработает на странице настроек плагина и/или на странице
регистрации (http://site/wp-login.php?action=register).

При этом на странице настроек плагина используется защита от CSRF,
поэтому необходимо использовать reflected XSS для её обхода и
проведения persistent XSS атаки.

Замечу, что в dash_widget.php есть persistent XSS (как и в Register
Plus (http://websecurity.com.ua/5086/)), где код сработает при
посещении страницы Dashboard. Но в Register Plus Redux не
используется widget, поэтому данная атака невозможна (пока автор не
добавит поддержку виджета, так как файл dash_widget.php есть в
плагине).

Уязвимы версии плагина Register Plus Redux 3.7.3 и предыдущие
версии. Проверялось в версии 3.6.1, но все версии должны быть
уязвимыми, потому что разработчик не исправил ни одной уязвимости (ни
этих, ни прошлогодних).

Дополнительная информация о данных уязвимостях у меня на сайте:
http://websecurity.com.ua/5089/

Best wishes & regards,
MustLive
Администратор сайта
http://websecurity.com.ua