CVE-2024-2791: podatność Stored XSS w wtyczce Metform Elementor Contact Form Builder

Co wiadomo

Wtyczka Metform Elementor Contact Form Builder dla WordPressa do wersji 3.8.5 włącznie zawiera podatność typu Stored Cross-Site Scripting (XSS) wynikającą z niewystarczającej sanitacji i ucieczki danych wejściowych w atrybutach użytkownika. Atakujący z uprawnieniami co najmniej współtwórcy mogą wstrzykiwać złośliwe skrypty, które wykonują się przy odwiedzeniu zainfekowanej strony.

Wpływ biznesowy

Podatność umożliwia atakującym z uprawnieniami współtwórcy lub wyższymi wstrzyknięcie złośliwego kodu JavaScript, co może prowadzić do kradzieży sesji, manipulacji zawartością strony lub innych działań szkodliwych dla użytkowników i reputacji firmy. W środowiskach, gdzie dostęp do panelu WordPress jest szeroko udzielany, ryzyko wykorzystania tej luki jest istotne i wymaga szybkiej reakcji.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Metform Elementor Contact Form Builder u dostawcy oraz ich wdrożenie. W międzyczasie warto ograniczyć uprawnienia użytkowników do niezbędnego minimum, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć zastosowanie dodatkowych mechanizmów zabezpieczających przed XSS. Priorytetowo traktuj ocenę ryzyka i ekspozycji tej wtyczki w swoim środowisku.

Źródła

• NVD
• Reference
• Reference