CVE-2024-1585: podatność Stored XSS w wtyczce Metform Elementor Contact Form Builder

Co wiadomo

Wtyczka Metform Elementor Contact Form Builder dla WordPressa do wersji 3.8.3 włącznie jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez shortcode'y z powodu niewystarczającej sanitacji i escapingu danych wejściowych. Umożliwia to uwierzytelnionym użytkownikom z uprawnieniami co najmniej na poziomie współpracownika wstrzyknięcie złośliwych skryptów, które wykonują się podczas odwiedzin zainfekowanej strony.

Wpływ biznesowy

Podatność ta może prowadzić do wykonania złośliwego kodu w przeglądarce użytkowników odwiedzających strony z wstrzykniętym skryptem, co może skutkować kradzieżą danych sesji, przejęciem konta lub innymi atakami na użytkowników i infrastrukturę. Operatorzy stron korzystających z tej wtyczki powinni traktować tę lukę poważnie, zwłaszcza jeśli mają wielu użytkowników z uprawnieniami do edycji treści.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki u dostawcy i jej wdrożenie. W międzyczasie warto ograniczyć uprawnienia użytkowników do minimum niezbędnego do pracy oraz monitorować logi pod kątem podejrzanej aktywności. Przegląd i oczyszczenie istniejących treści pod kątem potencjalnych wstrzyknięć również jest wskazane.

Źródła

• NVD
• Reference
• Reference
• Reference