CVE-2024-10562: luka XSS w wtyczce Form Maker dla WordPress

Co wiadomo

Wtyczka Form Maker firmy 10Web w wersjach przed 1.15.31 nieprawidłowo oczyszcza i nie zabezpiecza niektórych ustawień, co może umożliwić użytkownikom z wysokimi uprawnieniami, np. administratorom, przeprowadzenie ataków typu Stored Cross-Site Scripting, nawet gdy zdolność unfiltered_html jest wyłączona, np. w konfiguracji multisite.

Wpływ biznesowy

Luka ta może prowadzić do wstrzyknięcia złośliwego kodu JavaScript, co zagraża bezpieczeństwu witryny i danych użytkowników. Atakujący z uprawnieniami administratora mogą wykorzystać tę podatność do eskalacji ataku lub przejęcia kontroli nad stroną. W środowiskach multisite ryzyko jest szczególnie istotne, gdyż ograniczenia unfiltered_html nie chronią przed tym zagrożeniem.

Rekomendowane działania administratora

Administratorzy powinni jak najszybciej zweryfikować wersję wtyczki Form Maker i zaktualizować ją do najnowszej dostępnej wersji. W przypadku braku natychmiastowej aktualizacji zaleca się ograniczenie uprawnień użytkowników oraz przegląd logów pod kątem podejrzanej aktywności. Warto również monitorować oficjalne komunikaty producenta w celu uzyskania dalszych wskazówek.

Źródła

• NVD
• Reference