CVE-2024-3113: luka XSS w wtyczce Simple Form dla WordPress

Co wiadomo

Wtyczka Simple Form (FormFlow) do WordPressa w wersjach przed 2.12.2 nieprawidłowo oczyszcza i zabezpiecza niektóre ustawienia, co umożliwia użytkownikom z wysokimi uprawnieniami, np. administratorom, przeprowadzenie ataków typu Stored Cross-Site Scripting nawet gdy opcja unfiltered_html jest wyłączona.

Wpływ biznesowy

Luka ta może prowadzić do wstrzyknięcia złośliwego kodu JavaScript, co zagraża bezpieczeństwu witryny i danych użytkowników. Atakujący z uprawnieniami administratora mogą wykorzystać tę podatność do eskalacji ataku lub przejęcia kontroli nad stroną. W środowiskach multisite ryzyko jest szczególnie istotne, gdyż ochrona unfiltered_html może nie wystarczyć.

Rekomendowane działania administratora

Zaleca się jak najszybszą aktualizację wtyczki Simple Form do wersji 2.12.2 lub nowszej udostępnionej przez dewelopera. W przypadku braku możliwości natychmiastowej aktualizacji, warto ograniczyć uprawnienia użytkowników oraz monitorować logi pod kątem podejrzanych działań. Przegląd konfiguracji multisite i weryfikacja ustawień bezpieczeństwa również są wskazane.

Źródła

• NVD
• Reference