Luka Stored Cross-Site Scripting w wtyczce Slick Contact Forms dla WordPress

Co wiadomo

Wtyczka Slick Contact Forms dla WordPress w wersjach do 1.3.7 włącznie jest podatna na atak Stored Cross-Site Scripting poprzez shortcode 'dcscf-link' z powodu niewystarczającej sanitacji i ucieczki danych wejściowych. Atakujący z uprawnieniami co najmniej współtwórcy mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzin zainfekowanej strony.

Wpływ biznesowy

Podatność umożliwia osobom z uprawnieniami współtwórcy lub wyższymi wstrzyknięcie złośliwego kodu JavaScript, co może prowadzić do przejęcia sesji użytkowników, kradzieży danych lub innych działań szkodliwych dla witryny i jej użytkowników. Może to wpłynąć na reputację firmy oraz bezpieczeństwo danych i infrastruktury IT.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Slick Contact Forms u dostawcy oraz jej wdrożenie. W międzyczasie warto ograniczyć uprawnienia użytkowników do niezbędnego minimum, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie funkcji shortcode 'dcscf-link' jeśli to możliwe.

Źródła

• NVD
• Reference
• Reference