CVE-2023-3645: luka XSS w wtyczce Contact Form Builder dla WordPress

Co wiadomo

Wtyczka Contact Form Builder firmy Bit Form dla WordPress w wersjach przed 2.2.0 nie sanitizuje i nie ucieka poprawnie niektórych ustawień, co umożliwia użytkownikom z wysokimi uprawnieniami, np. administratorom, przeprowadzenie ataków typu Stored Cross-Site Scripting, nawet gdy zdolność unfiltered_html jest wyłączona, np. w konfiguracji multisite.

Wpływ biznesowy

Luka ta może pozwolić administratorom na wstrzyknięcie złośliwego kodu JavaScript, co może prowadzić do przejęcia sesji, manipulacji danymi lub innych działań szkodliwych dla witryny i jej użytkowników. W środowiskach multisite, gdzie unfiltered_html jest zazwyczaj wyłączone, ryzyko może być niedostatecznie kontrolowane. Operatorzy CMS powinni zwrócić uwagę na potencjalne zagrożenia wynikające z tej luki, szczególnie w przypadku instalacji wtyczki w wersji podatnej.

Rekomendowane działania administratora

Zaleca się jak najszybszą aktualizację wtyczki Contact Form Builder do wersji 2.2.0 lub nowszej, w której luka została załatana. W przypadku braku możliwości natychmiastowej aktualizacji, warto ograniczyć uprawnienia użytkowników oraz monitorować logi pod kątem podejrzanej aktywności. Dodatkowo, przegląd konfiguracji multisite i polityk bezpieczeństwa może pomóc w ograniczeniu ryzyka.

Źródła

• NVD
• Reference