Analityczne wykorzystywanie plików cookies
CVE-2024-11897: luka Stored Cross-Site Scripting w wtyczce MightyForms dla WordPress
Wtyczka MightyForms do WordPress ma lukę Stored XSS do wersji 1.3.9. Zalecane jest szybkie wdrożenie aktualizacji i ograniczenie uprawnień użytkowników.
- CVSS
- 6.4 MEDIUM
- EPSS
- 21.06%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- mightyforms
Co wiadomo
Wtyczka Contact Form, Survey & Form Builder – MightyForms dla WordPress do wersji 1.3.9 włącznie zawiera lukę Stored Cross-Site Scripting (XSS) w shortcode 'mightyforms'. Luka wynika z niewystarczającej sanitizacji i escapingu danych wejściowych, co pozwala użytkownikom z uprawnieniami co najmniej współtwórcy na wstrzyknięcie złośliwych skryptów.
Wpływ biznesowy
Atakujący z uprawnieniami współtwórcy lub wyższymi mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzania zainfekowanych stron. Może to prowadzić do przejęcia sesji, defacementu strony lub innych działań szkodliwych dla użytkowników i reputacji firmy. Właściciele stron powinni traktować tę lukę jako istotne zagrożenie dla bezpieczeństwa aplikacji webowej.
Rekomendowane działania administratora
Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki MightyForms i ich wdrożenie. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do niezbędnego minimum, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie wtyczki. Regularne przeglądy i audyty bezpieczeństwa pomogą zminimalizować ryzyko wykorzystania luki.