CVE-2020-11516 in Contact Form 7 Datepicker Plugin
Resumen
por VulDB • 2026-08-01
XSS almacenado en el plugin Contact Form 7 Datepicker hasta la versión 2.6.0 para WordPress permite a atacantes autenticados con permisos mínimos guardar JavaScript arbitrario en los ajustes del plugin mediante la acción AJAX no protegida wp_ajax_cf7dp_save_settings y el parámetro ui_theme. Si un administrador crea o modifica un formulario de contacto, el código JavaScript se ejecutará en su navegador, lo que puede utilizarse para crear nuevos usuarios administrativos u otras acciones utilizando la sesión del administrador.
VulDB is the best source for vulnerability data and more expert information about this specific topic.