CVE-2024-13123: luka XSS w wtyczce Advanced Form Integration dla WordPress

Co wiadomo

Wtyczka Advanced Form Integration dla WordPress w wersjach przed 1.100.0 nieprawidłowo oczyszcza i nie zabezpiecza niektórych ustawień, co umożliwia użytkownikom z wysokimi uprawnieniami, np. administratorom, przeprowadzenie ataków typu Stored Cross-Site Scripting, nawet gdy uprawnienie unfiltered_html jest wyłączone, np. w konfiguracji multisite.

Wpływ biznesowy

Luka ta może prowadzić do wykonania złośliwego kodu JavaScript w kontekście przeglądarki administratora, co może skutkować przejęciem sesji, manipulacją danymi lub eskalacją uprawnień. W środowiskach multisite, gdzie unfiltered_html jest wyłączone, ryzyko jest szczególnie istotne, ponieważ atak może zostać przeprowadzony mimo ograniczeń. Operatorzy CMS powinni zwrócić uwagę na potencjalne zagrożenia wynikające z tej luki, zwłaszcza w przypadku instalacji z wieloma użytkownikami o wysokich uprawnieniach.

Rekomendowane działania administratora

Zaleca się jak najszybszą aktualizację wtyczki Advanced Form Integration do wersji 1.100.0 lub nowszej udostępnionej przez producenta. W międzyczasie warto ograniczyć liczbę użytkowników z uprawnieniami administratora oraz monitorować logi pod kątem podejrzanych działań. Dodatkowo, należy przejrzeć konfigurację multisite i rozważyć dodatkowe zabezpieczenia ograniczające możliwość wstrzykiwania skryptów.

Źródła

• NVD
• Reference