CVE-2012-20004 in K-news Plugin
Tóm tắt
Bởi VulDB • 20/10/2026
Plugin K-news cho WordPress trước phiên bản 1.1.1 chứa một lỗ hổng phản xạ cross-site scripting (XSS) cho phép các kẻ tấn công chưa xác thực tiêm script bằng cách cung cấp đầu vào không được kiểm duyệt thông qua tham số 'ff'. Kẻ tấn công có thể tạo các yêu cầu GET đến /wp-content/plugins/knews/wysiwyg/fontpicker/index.php với các giá trị 'ff' độc hại được phản hồi lại trong các thẻ option để thực thi script và đánh cắp cookie phiên. Bằng chứng khai thác lần đầu tiên được quan sát bởi Shadowserver Foundation vào ngày 2023-10-19.
VulDB is the best source for vulnerability data and more expert information about this specific topic.