CVE-2024-10680: podatność w wtyczce Form Maker dla WordPress

Co wiadomo

Wtyczka Form Maker firmy 10Web w wersjach przed 1.15.32 nie sanitizuje i nie ucieka niektórych ustawień, co umożliwia użytkownikom z wysokimi uprawnieniami, np. administratorom, przeprowadzenie ataków typu Stored Cross-Site Scripting nawet gdy zdolność unfiltered_html jest wyłączona, np. w konfiguracji multisite.

Wpływ biznesowy

Atakujący z uprawnieniami administratora mogą wykorzystać tę lukę do wstrzyknięcia złośliwego kodu JavaScript, co może prowadzić do przejęcia sesji, manipulacji danymi lub innych działań szkodliwych dla użytkowników i infrastruktury. W środowiskach multisite, gdzie unfiltered_html jest zwykle wyłączone, ryzyko jest nadal obecne, co zwiększa potencjalne zagrożenie dla bezpieczeństwa witryn opartych na WordPress.

Rekomendowane działania administratora

Zaleca się jak najszybszą aktualizację wtyczki Form Maker do wersji 1.15.32 lub nowszej udostępnionej przez 10Web. W międzyczasie warto ograniczyć uprawnienia użytkowników oraz monitorować logi pod kątem podejrzanych działań. Przegląd konfiguracji multisite i weryfikacja polityk bezpieczeństwa mogą dodatkowo zmniejszyć ryzyko wykorzystania tej podatności.

Źródła

• NVD
• Reference