WPForms 1.4.7 Cross-Site Scripting en fecha

Una nueva vulnerabilidad se cierne sobre el conocido WPForms. Tras la última vulnerabilidad ahora llega otra también de cross-scripting, aunque en este caso la cosa tiene que ver con las fechas.

Básicamente, el sistema permitía recibir el campo fecha, se parseaba y eso acababa generando la fecha, pero no se verificaban los campos de por sí.

if ( ! empty( $_GET['date'] ) ) {
  $dates = explode( ' - ', $_GET['date'] );
  if ( is_array( $dates ) && count( $dates ) === 2 ) {
    $default_date = 'defaultDate: [ "' . $dates[0] . '", "' . $dates[1] . '" ],';
  }
}

Debido a esto, el contenido de la fecha se podría separar y pasando un dato con un guión y un script podría generar un ataque instantáneo.

WPVDB ID: 9164

Deja un comentario