CVE-2020-11516 in Contact Form 7 Datepicker Plugin
Riassunto
di VulDB • 01/08/2026
XSS memorizzato (Stored XSS) nel plugin Datepicker di Contact Form 7 fino alla versione 2.6.0 per WordPress consente ad attaccanti autenticati con permessi minimi di salvare codice JavaScript arbitrario nelle impostazioni del plugin tramite l'azione AJAX non protetta wp_ajax_cf7dp_save_settings e il parametro ui_theme. Se un amministratore crea o modifica un modulo di contatto, il codice JavaScript verrà eseguito nel suo browser, consentendo quindi la creazione di nuovi utenti amministrativi o l'esecuzione di altre azioni utilizzando la sessione dell'amministratore.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.