Плагин Drag and Drop Multiple File Upload для Contact Form 7 WordPress до версии 1.3.9.9 не изменяет одну из своих настроек перед использованием ее в качестве имени HTML-тега во внешнем интерфейсе, что позволяет пользователям с правами администратора вставлять произвольные веб-скрипты, которые выполняются на любой внешней странице, отображающей ее поле загрузки.
Показать оригинальное описание (EN)
The Drag and Drop Multiple File Upload for Contact Form 7 WordPress plugin before 1.3.9.9 does not escape one of its settings before using it as an HTML tag name in front-end output, allowing users with administrator access to inject arbitrary web scripts that execute on any front-end page rendering its upload field.
Характеристики атаки
Способ атаки
По сети
Атака возможна удалённо
Сложность
Низкая
Легко эксплуатировать
Нужны права
Высокие
Нужны права администратора
Участие пользователя
Требуется
Нужно действие пользователя
Последствия
Конфиденциальность
Низкое
Частичная утечка данных
Целостность
Низкое
Частичная модификация данных
Доступность
Нет
Нет нарушения работы
Строка CVSS v3.1