CVE-2024-12037: podatność XSS w wtyczce WordPress Post Form – Registration Form

Co wiadomo

Wtyczka Post Form – Registration Form – Profile Form dla WordPress zawiera podatność typu Stored Cross-Site Scripting (XSS) w shortcode 'bf_new_submission_link' do wersji 2.8.13 włącznie. Umożliwia to uwierzytelnionym użytkownikom z uprawnieniami co najmniej współtwórcy wstrzyknięcie złośliwych skryptów, które wykonują się podczas odwiedzin zainfekowanej strony.

Wpływ biznesowy

Podatność może prowadzić do wykonania złośliwego kodu w przeglądarce użytkowników odwiedzających strony z wstrzykniętym skryptem, co zagraża bezpieczeństwu danych i integralności witryny. Atakujący mogą wykorzystać ją do kradzieży sesji, manipulacji treścią lub dalszej eskalacji uprawnień, co stanowi ryzyko dla operatorów IT i właścicieli infrastruktury WordPress.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Post Form – Registration Form i jej instalację, jeśli jest dostępna. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do minimum, monitorować logi pod kątem podejrzanych działań oraz rozważyć tymczasowe wyłączenie funkcji korzystających z shortcode 'bf_new_submission_link'.

Źródła

• NVD
• Reference
• Reference