| タイトル | Stored XSS in The Events Calendar |
|---|
| 説明 | stored xss in The Events Calendar wordpress plugin that could be insert javascript payload in event detail
1. install latest The Events Calendar wordpress plugin
2. create or edit exist event detail
3. insert like that payload into title and body
<h1 onclick=alert(1)>test</h1>
4. load event page and fire xss
POC:
https://drive.google.com/file/d/1vineiIgIn7xyo3C0V-7__neZHcbP8pgq/view?usp=sharing
https://drive.google.com/file/d/1NMcJYb9HyenkaSK-PxwsS5fOeY6FgrtV/view?usp=sharing |
|---|
| ユーザー | rezaduty (UID 10530) |
|---|
| 送信 | 2022年11月01日 11:27 (4 年 ago) |
|---|
| モデレーション | 2022年11月01日 16:33 (5 hours later) |
|---|
| ステータス | 重複 |
|---|
| VulDBエントリ | 212632 [Events Calendar Plugin 上 WordPress Event post.php title/body クロスサイトスクリプティング] |
|---|
| 理由 | not possible without admin permissions |
|---|
| ポイント | 0 |
|---|