CVE-2024-10647: podatność XSS w wtyczce WS Form LITE dla WordPress

Co wiadomo

Wtyczka WS Form LITE – Drag & Drop Contact Form Builder dla WordPress jest podatna na atak typu Reflected Cross-Site Scripting (XSS) z powodu niewłaściwego oczyszczania parametrów URL w funkcji remove_query_arg we wszystkich wersjach do 1.9.244 włącznie. Atakujący może wstrzyknąć złośliwy skrypt, który wykona się po nakłonieniu użytkownika do kliknięcia w spreparowany link.

Wpływ biznesowy

Podatność ta może prowadzić do wykonania złośliwego kodu w przeglądarce użytkownika, co zagraża bezpieczeństwu danych i może skutkować przejęciem sesji lub innymi atakami na użytkowników serwisu. Operatorzy stron korzystających z tej wtyczki powinni rozważyć ryzyko związane z potencjalnym wykorzystaniem tej luki, zwłaszcza jeśli ich witryny mają dużą liczbę odwiedzających.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki WS Form LITE u dostawcy oraz jej instalację. W międzyczasie warto ograniczyć ekspozycję podatnych elementów, monitorować logi pod kątem podejrzanych aktywności oraz edukować użytkowników o ryzyku klikania w nieznane linki. Priorytetem jest szybka weryfikacja i wdrożenie poprawek bezpieczeństwa.

Źródła

• NVD
• Reference
• Reference