CVE-2012-20004
Beschrijving NL
K-news plugin voor WordPress vóór 1.1.1 bevat een gereflecteerde kwetsbaarheid voor cross-site scripting waarmee niet-geverifieerde aanvallers scripts kunnen injecteren door ongeschikte invoer te leveren via de parameter 'ff'. Aanvallers kunnen aanvragen indienen voor /wp-content/plugins/knowss/wysiwyg/fontpicker/index.php met kwaadaardige 'ff' -waarden die worden weergegeven in optietags om scripts uit te voeren en sessiecookies te stelen. Exploitatiebewijs werd voor het eerst waargenomen door de Shadowserver Foundation op 2023-10-19.
Origineel (Engels) tonen
K-news plugin for WordPress before 1.1.1 contains a reflected cross-site scripting vulnerability that allows unauthenticated attackers to inject script by supplying unsanitized input through the 'ff' parameter. Attackers can craft GET requests to /wp-content/plugins/knews/wysiwyg/fontpicker/index.php with malicious 'ff' values echoed into option tags to execute script and steal session cookies. Exploitation evidence was first observed by the Shadowserver Foundation on 2023-10-19.