CVE-2023-5005: luka XSS w wtyczce Autocomplete Location Field Contact Form 7

Co wiadomo

Wtyczka WordPress Autocomplete Location Field Contact Form 7 w wersjach przed 3.0 oraz jej wersja Pro przed 2.0 nie sanitizuje i nie ucieka poprawnie niektórych ustawień. Może to pozwolić użytkownikom z wysokimi uprawnieniami, np. administratorom, na przeprowadzenie ataków Stored Cross-Site Scripting nawet gdy zdolność unfiltered_html jest wyłączona, np. w konfiguracjach multisite.

Wpływ biznesowy

Luka umożliwia administratorom wstrzyknięcie złośliwego kodu JavaScript, co może prowadzić do przejęcia sesji, manipulacji danymi lub innych ataków na użytkowników i infrastrukturę. W środowiskach multisite, gdzie unfiltered_html jest zablokowane, ryzyko jest nadal obecne, co zwiększa potencjalne zagrożenie dla bezpieczeństwa witryny i jej użytkowników.

Rekomendowane działania administratora

Zaleca się jak najszybszą aktualizację wtyczki do wersji 3.0 lub nowszej (w przypadku wersji Pro do 2.0 lub nowszej). W międzyczasie warto ograniczyć uprawnienia użytkowników oraz monitorować logi pod kątem podejrzanych działań. Przegląd konfiguracji multisite i ograniczenie dostępu do ustawień wtyczki może dodatkowo zmniejszyć ryzyko wykorzystania luki.

Źródła

• NVD
• Reference