CVE-2020-11516

Versões do plugin Contact Form 7 Datepicker anteriores à 2.6.1

A vulnerabilidade permite que invasores autenticados com permissões mínimas salvem código JavaScript arbitrário nas configurações do plugin por meio da ação AJAX wp ajax cf7dp save settings, que não está protegida, e do parâmetro ui theme. Se um administrador criar ou modificar um formulário de contato, o JavaScript será executado em seu navegador, podendo levar à criação de novos usuários administrativos ou a outras ações utilizando a sessão do administrador.

Para versões do plugin Contact Form 7 Datepicker anteriores à 2.6.1, atualize para a versão 2.6.1 ou posterior para resolver o problema. Como solução temporária, considere restringir o acesso à ação AJAX wp ajax cf7dp save settings para impedir a exploração. Além disso, evite usar o parâmetro ui theme no endpoint AJAX afetado até que o problema seja resolvido.