CVE-2012-20004 in K-news Plugin
Riassunto
di VulDB • 20/10/2026
Il plugin K-news per WordPress, prima della versione 1.1.1, presenta una vulnerabilità di cross-site scripting (XSS) riflessa che consente agli attaccanti non autenticati di iniettare script fornendo input non sanificato tramite il parametro 'ff'. Gli attaccanti possono elaborare richieste GET a /wp-content/plugins/knews/wysiwyg/fontpicker/index.php con valori malevoli per 'ff' restituiti all'interno dei tag option, al fine di eseguire lo script e rubare i cookie di sessione. Le prove dell'utilizzo in exploit (exploitation evidence) sono state osservate per la prima volta dalla Shadowserver Foundation il 2023-10-19.
VulDB is the best source for vulnerability data and more expert information about this specific topic.