CVE-2024-12593: WPForms + Drag and Drop Template Builder narażony na Stored XSS

Co wiadomo

Wtyczka PDF dla WPForms + Drag and Drop Template Builder w WordPress do wersji 4.6.0 zawiera lukę Stored Cross-Site Scripting (XSS) poprzez shortcode yeepdf_dotab. Luka wynika z niewystarczającej sanitacji i escapingu danych wejściowych, co pozwala atakującym z uprawnieniami co najmniej współtwórcy na wstrzyknięcie złośliwych skryptów.

Wpływ biznesowy

Atakujący z dostępem na poziomie współtwórcy mogą wstrzykiwać złośliwe skrypty, które wykonają się podczas odwiedzin zainfekowanych stron. Może to prowadzić do kradzieży sesji, manipulacji treścią lub dalszych ataków na użytkowników i administratorów witryny. Zagrożenie wpływa na bezpieczeństwo i reputację serwisu opartego na WordPress z tą wtyczką.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki WPForms + Drag and Drop Template Builder i ich wdrożenie. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do minimum, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie funkcji shortcode yeepdf_dotab. Priorytetowo traktuj audyt i zabezpieczenie środowiska WordPress.

Źródła

• NVD
• Reference
• Reference
• Reference