CVE-2021-24247
Contact Form Check Tester <= 1.0.2 - Da Controllo di accesso non funzionante a Cross-Site Scripting (XSS)
- Pubblicato
- 5 mag 2021
- Aggiornato
- 3 ago 2024
- Assegnazione CNA
- WPScan
- Evidenza osservata
- 2 feb 2022
CVSS primario
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:NBasso · prossimi 30 giorni
- Percentile
- 91,4%
- Data del modello
- 21 set 2026
L'EPSS è una stima statistica, non una certezza o una misura di impatto. Combinalo con CVSS, stato KEV, esposizione e ambiente.
Riepilogo
Il plugin WordPress Contact Form Check Tester fino alla versione 1.0.2 mostra le impostazioni a tutti gli utenti registrati nella dashboard e queste sono prive di qualsiasi sanificazione. Di conseguenza, qualsiasi utente registrato, come ad esempio un subscriber, può inserire un payload XSS nelle impostazioni del plugin, che verrà innescato da qualsiasi utente che le visiti, e potrebbe consentire l'escalation dei privilegi. Il vendor ha deciso di chiudere il plugin.
Fonti
10xB9 · php · 2 feb 2022
Utilizzo responsabile
Utilizza le informazioni sulla vulnerabilità solo sui sistemi che possiedi o che sei autorizzato a testare. Kitploit si collega ai metadati della ricerca pubblica e non memorizza codici exploit o payload dannosi.