Analityczne wykorzystywanie plików cookies
CVE-2024-10180: podatność Cross-Site Scripting w Contact Form 7 Repeatable Fields
Podatność Stored XSS w wtyczce Contact Form 7 Repeatable Fields do WordPressa. Zalecane szybkie aktualizacje i ograniczenie uprawnień użytkowników.
- CVSS
- 6.4 MEDIUM
- EPSS
- 22.65%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- contact form 7 repeatable fields
Co wiadomo
Wtyczka Contact Form 7 – Repeatable Fields dla WordPressa do wersji 2.0.1 włącznie zawiera podatność typu Stored Cross-Site Scripting (XSS) w shortcode field_group. Problem wynika z niewystarczającej sanitacji i escapingu danych wejściowych przekazywanych przez użytkownika.
Wpływ biznesowy
Atakujący z uprawnieniami co najmniej na poziomie współtwórcy mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzania zainfekowanych stron. Może to prowadzić do przejęcia sesji, kradzieży danych lub innych działań szkodliwych dla użytkowników i administratorów witryny.
Rekomendowane działania administratora
Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki u dostawcy i ich wdrożenie. W międzyczasie warto ograniczyć uprawnienia użytkowników do niezbędnego minimum, monitorować logi pod kątem podejrzanych działań oraz rozważyć tymczasowe wyłączenie funkcji wykorzystującej shortcode field_group.