CVE-2024-3637: podatność w wtyczce Contact Form & Lead Form Elementor Builder

Co wiadomo

Wtyczka Responsive Contact Form Builder & Lead Generation do WordPressa w wersji do 1.8.9 nie sanitizuje i nie zabezpiecza poprawnie niektórych ustawień, co umożliwia użytkownikom z wysokimi uprawnieniami, np. administratorom, przeprowadzenie ataków typu Stored Cross-Site Scripting, nawet gdy zdolność unfiltered_html jest wyłączona, np. w konfiguracji multisite.

Wpływ biznesowy

Podatność ta może prowadzić do wstrzyknięcia złośliwego kodu JavaScript przez administratorów, co może skutkować przejęciem sesji, manipulacją danymi lub innymi atakami na użytkowników i infrastrukturę. W środowiskach multisite, gdzie unfiltered_html jest zwykle wyłączone, ryzyko pozostaje, co zwiększa potencjalne zagrożenie dla bezpieczeństwa witryn opartych na tej wtyczce.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki u dostawcy i ich wdrożenie. W międzyczasie warto ograniczyć uprawnienia użytkowników do minimum niezbędnego do pracy, przeglądać logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie wtyczki, jeśli to możliwe. Należy również monitorować oficjalne komunikaty producenta wtyczki dotyczące łatek bezpieczeństwa.

Źródła

• NVD
• Reference