CVE-2024-10560: luka XSS w wtyczce Form Maker dla WordPress

Co wiadomo

Wtyczka Form Maker firmy 10Web w wersjach przed 1.15.30 nieprawidłowo oczyszcza i nie zabezpiecza niektórych ustawień, co może umożliwić użytkownikom z wysokimi uprawnieniami, np. administratorom, przeprowadzenie ataków typu Stored Cross-Site Scripting, nawet gdy zdolność unfiltered_html jest wyłączona, np. w konfiguracji multisite.

Wpływ biznesowy

Atak Stored Cross-Site Scripting może prowadzić do wykonania złośliwego kodu w kontekście przeglądarki administratora, co zagraża integralności i bezpieczeństwu witryny. Może to skutkować przejęciem sesji, modyfikacją zawartości lub eskalacją uprawnień. Organizacje korzystające z tej wtyczki powinny zweryfikować swoje instalacje i podjąć działania zabezpieczające, aby uniknąć potencjalnych incydentów.

Rekomendowane działania administratora

Zaleca się jak najszybszą aktualizację wtyczki Form Maker do wersji 1.15.30 lub nowszej udostępnionej przez 10Web. W przypadku braku możliwości natychmiastowej aktualizacji, ogranicz dostęp do panelu administracyjnego tylko do zaufanych użytkowników oraz monitoruj logi pod kątem podejrzanych działań. Przeglądaj i weryfikuj ustawienia wtyczki pod kątem potencjalnie niebezpiecznych treści.

Źródła

• NVD
• Reference