CVE-2024-2967: podatność XSS w wtyczce WP Front User Submit dla WordPress

Co wiadomo

Wtyczka WP Front User Submit (do wersji 4.4.7) dla WordPress zawiera podatność typu Stored Cross-Site Scripting (XSS) w ustawieniach formularzy. Atakujący z uprawnieniami administratora mogą wstrzykiwać złośliwe skrypty, które wykonują się przy odwiedzeniu zainfekowanej strony, dotyczy to instalacji multisite oraz tam, gdzie wyłączono unfiltered_html.

Wpływ biznesowy

Podatność umożliwia administratorom wstrzyknięcie złośliwego kodu, co może prowadzić do przejęcia sesji użytkowników lub modyfikacji zawartości stron. W środowiskach multisite ryzyko jest większe, gdyż atak może wpłynąć na wiele witryn jednocześnie. Należy zwrócić uwagę na instalacje z wyłączoną opcją unfiltered_html, które są bardziej narażone.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki WP Front User Submit i ich wdrożenie. W przypadku braku łatki, ogranicz dostęp administratorów oraz rozważ włączenie opcji unfiltered_html. Przeanalizuj logi pod kątem podejrzanych działań i monitoruj instalacje multisite pod kątem nietypowego zachowania.

Źródła

• NVD
• Reference
• Reference
• Reference