Luka XSS w wtyczce Contact Form & SMTP dla WordPress (CVE-2024-11273)

Co wiadomo

Wtyczka Contact Form & SMTP dla WordPress (wersje przed 2.6.0) nieprawidłowo oczyszcza i zabezpiecza niektóre ustawienia, co pozwala użytkownikom z wysokimi uprawnieniami, np. administratorom, na przeprowadzenie ataków typu Stored Cross-Site Scripting, nawet gdy uprawnienie unfiltered_html jest wyłączone.

Wpływ biznesowy

Luka ta może umożliwić atakującym z uprawnieniami administratora wstrzyknięcie złośliwego kodu JavaScript, co może prowadzić do przejęcia sesji, manipulacji danymi lub innych działań szkodliwych dla witryny i jej użytkowników. W środowiskach multisite ryzyko jest szczególnie istotne, gdyż atak może wpłynąć na wiele podstron.

Rekomendowane działania administratora

Zaleca się jak najszybszą aktualizację wtyczki Contact Form & SMTP do wersji 2.6.0 lub nowszej udostępnionej przez producenta. W międzyczasie warto ograniczyć uprawnienia użytkowników oraz monitorować logi pod kątem podejrzanej aktywności. Przegląd konfiguracji multisite i stosowanie zasad minimalnych uprawnień zwiększy bezpieczeństwo.

Źródła

• NVD
• Reference