hCaptcha dla WordPress podatny na Stored Cross-Site Scripting (CVE-2024-4014)

Co wiadomo

Wtyczka hCaptcha dla WordPress do wersji 4.0.0 włącznie ma lukę Stored Cross-Site Scripting (XSS) w shortcode cf7-hcaptcha, wynikającą z niewystarczającej sanitacji i escapingu danych wejściowych. Umożliwia to atakującym z uprawnieniami co najmniej współtwórcy wstrzyknięcie złośliwych skryptów, które wykonują się przy odwiedzeniu zainfekowanej strony.

Wpływ biznesowy

Luka pozwala na wykonanie złośliwego kodu w przeglądarce użytkownika, co może prowadzić do kradzieży danych sesji, manipulacji zawartością strony lub innych ataków skierowanych na odwiedzających. Organizacje korzystające z tej wtyczki narażają się na ryzyko naruszenia bezpieczeństwa oraz utraty zaufania użytkowników.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki hCaptcha i jej instalację. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do minimum, monitorować logi pod kątem podejrzanych działań oraz rozważyć tymczasowe wyłączenie shortcode cf7-hcaptcha. Przegląd i weryfikacja wszystkich stron korzystających z tego shortcode jest wskazana.

Źródła

• NVD
• Reference
• Reference