CVE-2023-5048: podatność Stored Cross-Site Scripting w wtyczce WP Form Builder

Co wiadomo

Wtyczka WDContactFormBuilder dla WordPressa w wersjach do 1.0.72 włącznie posiada lukę Stored Cross-Site Scripting (XSS) w shortcode 'Contact_Form_Builder' z powodu niewystarczającej sanitacji i escapingu atrybutu 'id'. Umożliwia to atakującym z uprawnieniami co najmniej współtwórcy wstrzyknięcie złośliwych skryptów, które wykonują się przy odwiedzeniu zainfekowanej strony.

Wpływ biznesowy

Luka ta może prowadzić do wykonania złośliwego kodu w kontekście przeglądarki użytkownika, co zagraża bezpieczeństwu danych i integralności witryny. Atakujący mogą wykorzystać ją do kradzieży sesji, manipulacji treścią lub dalszych ataków na użytkowników i infrastrukturę. Operatorzy stron korzystających z tej wtyczki powinni potraktować problem jako istotny i podjąć działania minimalizujące ryzyko.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki WP Form Builder u dostawcy i ich wdrożenie. W międzyczasie warto ograniczyć uprawnienia użytkowników do niezbędnego minimum, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie funkcji korzystających z podatnego shortcode. Regularne przeglądy bezpieczeństwa i szybkie reagowanie na incydenty są kluczowe.

Źródła

• NVD
• Reference
• Reference