CVE-2024-10054: luka XSS w wtyczce Happyforms dla WordPress

Co wiadomo

Wtyczka Happyforms dla WordPress w wersjach przed 1.26.3 nie sanitizuje i nie zabezpiecza niektórych ustawień, co umożliwia użytkownikom z wysokimi uprawnieniami, np. administratorom, przeprowadzenie ataków typu Stored Cross-Site Scripting (XSS), nawet gdy zdolność unfiltered_html jest wyłączona, np. w konfiguracjach multisite.

Wpływ biznesowy

Luka ta może prowadzić do wykonania złośliwego kodu w kontekście przeglądarki administratora, co może skutkować przejęciem sesji, modyfikacją zawartości strony lub innymi nieautoryzowanymi działaniami. W środowiskach CMS, gdzie wtyczka Happyforms jest używana, istnieje ryzyko naruszenia integralności i bezpieczeństwa witryny, zwłaszcza jeśli dostęp mają użytkownicy z wysokimi uprawnieniami.

Rekomendowane działania administratora

Zaleca się jak najszybszą aktualizację wtyczki Happyforms do wersji 1.26.3 lub nowszej udostępnionej przez producenta. W międzyczasie warto ograniczyć dostęp do panelu administracyjnego tylko do zaufanych użytkowników oraz monitorować logi pod kątem podejrzanych działań. Dodatkowo należy zweryfikować konfigurację uprawnień i rozważyć wdrożenie dodatkowych mechanizmów ochrony przed XSS.

Źródła

• NVD
• Reference