关键信息 描述 描述: 插件未对模板的Button Text字段进行清洗和转义，允许高权限用户（编辑和管理员）在即使禁用 功能时仍执行跨站脚本攻击。 证明概念 通过在模板的Button Text、Button subtext、Header text、Header subtext字段中注入以下payload触发XSS攻击： POCT GitHub链接: 链接 影响插件 插件名称: youforms-free-for-copecart 状态: 无已知修复 参考链接 CVE: CVE-2021-24596 分类 类型: XSS OWASP Top 10: A7: 跨站脚本（XSS） CWE: CWE-79 CVSS: 3.1 (低) 其他信息 原研究人员: xiahao@webray.com.cn inc 提交者: xiahao@webray.com.cn inc 提交者Twitter: IAmn9V6MU9Dfb8p 验证: 是 WPVDB ID: b5def0e7-2b4a-43e0-8175-28b28aa2f8ae 时间线 公开发布: 2021-07-30 添加: 2021-08-19 最后更新: 2022-04-09