Luka w Formidable Forms umożliwiająca atak XSS przez parametry Custom HTML

Co wiadomo

Wtyczka Formidable Forms dla WordPressa jest podatna na atak typu POST-Based Reflected Cross-Site Scripting (XSS) w parametrach Custom HTML we wszystkich wersjach do 6.16.1.2 włącznie. Luka wynika z niewystarczającej sanitacji danych wejściowych i braku odpowiedniego zabezpieczenia wyjścia, co pozwala nieautoryzowanym atakującym na wstrzyknięcie złośliwych skryptów.

Wpływ biznesowy

Podatność może umożliwić atakującym wykonanie złośliwych skryptów w przeglądarce użytkownika, co może prowadzić do kradzieży danych sesji, manipulacji treścią strony lub innych działań szkodliwych dla użytkowników i właścicieli serwisów. Organizacje korzystające z tej wtyczki powinny traktować tę lukę jako średniego ryzyka, zwłaszcza jeśli formularze są publicznie dostępne i przyjmują dane od użytkowników.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Formidable Forms u dostawcy i jej wdrożenie. W międzyczasie warto ograniczyć ekspozycję formularzy, monitorować logi pod kątem podejrzanych działań oraz edukować użytkowników o ryzyku kliknięcia podejrzanych linków. Priorytetem jest szybka weryfikacja i wdrożenie poprawek bezpieczeństwa.

Źródła

• NVD
• Reference
• Reference