CVE-2023-2803: luka XSS w wtyczce Ultimate Addons for Contact Form 7

Co wiadomo

Wtyczka Ultimate Addons for Contact Form 7 dla WordPressa w wersjach przed 3.1.29 nie oczyszcza i nie zabezpiecza odpowiednio parametru przed jego wyświetleniem na stronie, co prowadzi do podatności typu Reflected Cross-Site Scripting (XSS). Luka ta może być wykorzystana przeciwko użytkownikom o wysokich uprawnieniach, takim jak administratorzy.

Wpływ biznesowy

Podatność XSS w popularnej wtyczce WordPress może umożliwić atakującym wykonanie złośliwego kodu w kontekście przeglądarki administratora, co może prowadzić do przejęcia kontroli nad stroną lub wycieku danych. Operatorzy stron korzystających z tej wtyczki powinni traktować tę lukę poważnie, zwłaszcza jeśli wtyczka jest używana przez użytkowników z uprawnieniami administracyjnymi.

Rekomendowane działania administratora

Zaleca się jak najszybszą aktualizację wtyczki Ultimate Addons for Contact Form 7 do wersji 3.1.29 lub nowszej udostępnionej przez producenta. W przypadku braku możliwości natychmiastowej aktualizacji, warto ograniczyć dostęp do panelu administracyjnego, monitorować logi pod kątem podejrzanej aktywności oraz stosować dodatkowe zabezpieczenia przeciw XSS. Regularne przeglądanie i stosowanie aktualizacji bezpieczeństwa jest kluczowe.

Źródła

• NVD
• Reference