CVE-2024-13122: luka XSS w wtyczce Advanced Form Integration dla WordPress

Co wiadomo

Wtyczka Advanced Form Integration dla WordPress w wersjach przed 1.100.0 nie sanitizuje i nie zabezpiecza niektórych ustawień, co umożliwia użytkownikom z wysokimi uprawnieniami, np. administratorom, przeprowadzenie ataków Stored Cross-Site Scripting, nawet gdy zdolność unfiltered_html jest wyłączona, np. w konfiguracjach multisite.

Wpływ biznesowy

Luka ta może pozwolić administratorom na wstrzyknięcie złośliwego kodu JavaScript, co może prowadzić do przejęcia sesji, manipulacji danymi lub innych ataków na użytkowników i system. W środowiskach multisite, gdzie unfiltered_html jest zwykle wyłączone, ryzyko jest szczególnie istotne. Choć CVSS wskazuje niską wagę, organizacje powinny zwrócić uwagę na potencjalne skutki dla integralności i bezpieczeństwa danych.

Rekomendowane działania administratora

Zaleca się jak najszybszą aktualizację wtyczki Advanced Form Integration do wersji 1.100.0 lub nowszej. W przypadku braku możliwości natychmiastowej aktualizacji, warto ograniczyć uprawnienia użytkowników oraz monitorować logi pod kątem podejrzanych działań. Przegląd konfiguracji multisite i polityk bezpieczeństwa również jest wskazany, aby zminimalizować ryzyko wykorzystania luki.

Źródła

• NVD
• Reference