CVE-2024-13125: Luka XSS w wtyczce Everest Forms dla WordPress

Co wiadomo

Wtyczka Everest Forms dla WordPress w wersjach przed 3.0.8.1 nieprawidłowo oczyszcza i zabezpiecza niektóre ustawienia, co umożliwia użytkownikom z wysokimi uprawnieniami, np. administratorom, przeprowadzenie ataków typu Stored Cross-Site Scripting nawet przy wyłączonej funkcji unfiltered_html, np. w środowiskach multisite.

Wpływ biznesowy

Atak XSS może prowadzić do wykonania złośliwego kodu w kontekście przeglądarki administratora, co zagraża bezpieczeństwu witryny i danych. W środowiskach multisite luka ta może być wykorzystana pomimo ograniczeń uprawnień, co zwiększa ryzyko naruszenia integralności i poufności systemu.

Rekomendowane działania administratora

Zaleca się jak najszybszą aktualizację wtyczki Everest Forms do wersji 3.0.8.1 lub nowszej udostępnionej przez producenta. W międzyczasie warto ograniczyć dostęp do panelu administracyjnego tylko do zaufanych użytkowników, monitorować logi pod kątem podejrzanych działań oraz przeglądać i weryfikować ustawienia wtyczki pod kątem nieprawidłowości.

Źródła

• NVD
• Reference