CVE-2023-6953: podatność XSS w wtyczce PDF Generator for Fluent Forms

Co wiadomo

Wtyczka PDF Generator for Fluent Forms dla WordPressa jest podatna na atak typu Stored Cross-Site Scripting (XSS) poprzez parametry nagłówka, treści PDF i stopki w wersjach do 1.1.7 włącznie. Luka wynika z niewystarczającej sanitacji danych wejściowych i braku odpowiedniego escapingu wyjścia, co pozwala na wstrzyknięcie złośliwych skryptów.

Wpływ biznesowy

Atakujący z uprawnieniami do tworzenia formularzy (domyślnie administratorzy, ale może to być także użytkownik z rolą współtwórcy) mogą wstrzykiwać złośliwe skrypty, które wykonają się podczas przeglądania zainfekowanych stron. Może to prowadzić do kradzieży danych sesji, przejęcia konta lub innych działań naruszających bezpieczeństwo użytkowników i integralność witryny.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki u dostawcy oraz ich wdrożenie. W międzyczasie warto ograniczyć uprawnienia do tworzenia formularzy do zaufanych użytkowników, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć zastosowanie dodatkowych mechanizmów filtrowania i zabezpieczeń aplikacji webowej.

Źródła

• NVD
• Reference
• Reference