Cookie Law Bar 1.2.1 存储型XSS漏洞 (CVE-2021-47957)

Cookie Law Bar WordPress插件1.2.1版本存在存储型XSS漏洞。攻击者利用插件设置页面“Bar Message”字段缺乏过滤的缺陷，注入恶意脚本。当其他用户访问站点时，脚本将在其浏览器中执行，导致Cookie窃取及敏感数据泄露。

该漏洞源于Cookie Law Bar插件在处理“Bar Message”配置项时，未对用户提交的数据进行有效的安全过滤和HTML实体编码。攻击者只需具备WordPress网站的低权限账户，即可在插件后台设置中注入恶意JavaScript代码。由于是存储型XSS，恶意载荷被持久化存储在服务器的数据库中。每当有用户（包括管理员）浏览包含该插件组件的页面时，服务器将未经过滤的数据直接输出到HTTP响应中，导致浏览器解析执行攻击者预设的脚本。由于漏洞涉及范围变更（S:C），攻击者可利用此漏洞进一步窃取管理员SessionID，甚至接管网站管理权限。