v35hr4j/cve-2021-24545このプラグインはユーザーのプロフィール（Bio）で許可されたHTMLをサニタイズしないため、悪意のあるJavaScriptコードを使用することが可能です。そのコードは、該当ユーザーが作成した投稿をフロントエンドで誰かが閲覧すると実行されます。その結果、著者（author）のように低い権限のユーザーでも、他のユーザーに対してクロスサイトスクリプティング（XSS）攻撃を実行でき、管理者が関連投稿を閲覧した場合には権限昇格につながる可能性があります。
WP HTML Author Bio <= 1.2.0 - Author+ 格納型クロスサイトスクリプティング
このプラグインは、ユーザーのプロフィール（Bio）で許可されるHTMLをサニタイズしないため、悪意のあるJavaScriptコードの使用が可能となり、そのユーザーが作成した投稿を誰かがフロントエンドで閲覧するとコードが実行されます。その結果、作成者（author）ロールを持つユーザーでもクロスサイトスクリプティング攻撃を実行でき、管理者が関連する投稿を表示した場合に特権昇格につながる可能性があります。
作成者としてログインし、プロフィールの「Biographical Info」フィールドに以下のペイロードを追加します:
<script>alert(/XSS/)</script>
その後、その作成者が作成した投稿を表示してXSSをトリガーします。
