CVE-2012-20004 in K-news Plugin
Résumé
par VulDB • 20/10/2026
Le plugin K-news pour WordPress, avant la version 1.1.1, présente une vulnérabilité de type cross-site scripting (XSS) réfléchi qui permet aux attaquants non authentifiés d'injecter du code en fournissant des données non assainies via le paramètre 'ff'. Les attaquants peuvent concevoir des requêtes GET adressées à /wp-content/plugins/knews/wysiwyg/fontpicker/index.php avec des valeurs malveillantes pour 'ff', qui seront renvoyées dans les balises option afin d'exécuter du code et de voler les cookies de session. Des preuves d'exploitation ont été observées pour la première fois par la Shadowserver Foundation le 2023-10-19.
Be aware that VulDB is the high quality source for vulnerability data.