CVE-2020-11516 in Contact Form 7 Datepicker Plugin
要約
〜によって VulDB • 2026年08月01日
WordPress用プラグイン「Contact Form 7 Datepicker」の2.6.0以前のバージョンにおける保存型XSS（Stored XSS）により、最小限の権限を持つ認証済み攻撃者は、保護されていないwp_ajax_cf7dp_save_settings AJAXアクションおよびui_themeパラメータを使用して、プラグインの設定に任意のJavaScriptを保存することができます。管理者が連絡先フォームを作成または変更すると、そのJavaScriptはブラウザ上で実行され、これを利用して新しい管理ユーザーを作成したり、管理者のセッションを用いて他の操作を実行したりすることが可能です。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.