Luka w WPForms umożliwiająca ataki Stored XSS

Co wiadomo

Wtyczka WPForms dla WordPressa w wersjach przed 1.9.2.3 nie sanitizuje i nie ucieka poprawnie niektórych ustawień, co pozwala użytkownikom z wysokimi uprawnieniami, np. administratorom, na przeprowadzenie ataków Stored Cross-Site Scripting, nawet gdy zdolność unfiltered_html jest wyłączona, np. w konfiguracjach multisite.

Wpływ biznesowy

Luka ta może prowadzić do wstrzyknięcia złośliwego kodu JavaScript, co zagraża bezpieczeństwu witryny i danych użytkowników. Atakujący z uprawnieniami administratora mogą wykorzystać tę podatność do eskalacji ataków, kradzieży sesji lub manipulacji zawartością strony. Operatorzy CMS powinni traktować tę lukę jako istotne ryzyko dla integralności i reputacji serwisu.

Rekomendowane działania administratora

Zaleca się jak najszybszą aktualizację wtyczki WPForms do wersji 1.9.2.3 lub nowszej udostępnionej przez producenta. W przypadku braku możliwości natychmiastowej aktualizacji, należy ograniczyć uprawnienia użytkowników oraz monitorować logi pod kątem podejrzanej aktywności. Warto również przeprowadzić przegląd konfiguracji multisite i stosować zasady minimalizacji uprawnień.

Źródła

• NVD
• Reference