Analityczne wykorzystywanie plików cookies
CVE-2023-3501: podatność w wtyczce FormCraft dla WordPress
FormCraft przed 1.2.7 umożliwia ataki Stored XSS przez administratorów, nawet gdy unfiltered_html jest wyłączone. Zalecana aktualizacja wtyczki.
- CVSS
- 4.8 MEDIUM
- EPSS
- 32.61%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- formcraft
Co wiadomo
Wtyczka FormCraft dla WordPress w wersjach przed 1.2.7 nie sanitizuje i nie ucieka niektórych ustawień, co pozwala użytkownikom z wysokimi uprawnieniami, np. administratorom, na przeprowadzenie ataków Stored Cross-Site Scripting nawet gdy zdolność unfiltered_html jest wyłączona, np. w konfiguracji multisite.
Wpływ biznesowy
Ta luka umożliwia ataki XSS przechowywane, które mogą prowadzić do wykonania złośliwego kodu w kontekście przeglądarki administratora. Może to skutkować przejęciem sesji, modyfikacją zawartości strony lub innymi nieautoryzowanymi działaniami. W środowiskach multisite ryzyko jest szczególnie istotne, gdyż standardowe ograniczenia unfiltered_html nie chronią przed tym atakiem.
Rekomendowane działania administratora
Zaleca się jak najszybszą aktualizację wtyczki FormCraft do wersji 1.2.7 lub nowszej udostępnionej przez producenta. W międzyczasie warto ograniczyć dostęp do panelu administracyjnego tylko do zaufanych użytkowników oraz monitorować logi pod kątem podejrzanej aktywności. Przegląd konfiguracji multisite i uprawnień użytkowników również jest wskazany.