CVE-2024-13053: podatność w wtyczce Form Maker dla WordPress

Co wiadomo

Wtyczka Form Maker firmy 10Web w wersjach przed 1.15.33 nie sanitizuje i nie ucieka niektórych ustawień, co umożliwia użytkownikom z wysokimi uprawnieniami, np. administratorom, przeprowadzenie ataków typu Stored Cross-Site Scripting, nawet gdy zdolność unfiltered_html jest wyłączona, np. w konfiguracji multisite.

Wpływ biznesowy

Podatność ta może prowadzić do wstrzyknięcia złośliwego kodu JavaScript przez uprawnionych użytkowników, co zagraża bezpieczeństwu witryny i jej użytkowników. Może to skutkować kradzieżą sesji, manipulacją danymi lub innymi atakami XSS, wpływając negatywnie na reputację i integralność systemu CMS.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie i zaktualizowanie wtyczki Form Maker do wersji 1.15.33 lub nowszej udostępnionej przez 10Web. W przypadku braku możliwości aktualizacji, ogranicz dostęp do kont z wysokimi uprawnieniami oraz monitoruj logi pod kątem podejrzanych działań. Przeanalizuj konfigurację multisite i rozważ dodatkowe zabezpieczenia przed XSS.

Źródła

• NVD
• Reference