CVE-2023-5955: podatność XSS w wtyczce Contact Form Email dla WordPress

Co wiadomo

Wtyczka Contact Form Email dla WordPress w wersjach przed 1.3.44 nie sanitizuje i nie ucieka poprawnie niektórych ustawień, co umożliwia użytkownikom o wysokich uprawnieniach, np. administratorom, przeprowadzenie ataków typu Stored Cross-Site Scripting, nawet gdy zdolność unfiltered_html jest wyłączona, np. w konfiguracji multisite.

Wpływ biznesowy

Podatność ta może pozwolić administratorom na wstrzyknięcie złośliwego kodu JavaScript, co może prowadzić do przejęcia sesji, manipulacji danymi lub innych działań szkodliwych dla użytkowników i integralności serwisu. W środowiskach multisite, gdzie unfiltered_html jest zazwyczaj wyłączone, ryzyko pozostaje, co zwiększa potencjalne zagrożenie dla bezpieczeństwa i reputacji firmy.

Rekomendowane działania administratora

Zaleca się jak najszybszą aktualizację wtyczki Contact Form Email do wersji 1.3.44 lub nowszej udostępnionej przez producenta. W międzyczasie warto ograniczyć uprawnienia użytkowników oraz monitorować logi pod kątem podejrzanych działań. Przegląd i weryfikacja konfiguracji multisite oraz polityk bezpieczeństwa dotyczących uprawnień użytkowników również jest wskazana.

Źródła

• NVD
• Reference