CVE-2024-6130: podatność w wtyczce Form Maker dla WordPress

Co wiadomo

Wtyczka Form Maker firmy 10Web w wersjach przed 1.15.26 nie sanitizuje i nie ucieka poprawnie niektórych ustawień, co umożliwia użytkownikom z wysokimi uprawnieniami, np. administratorom, przeprowadzenie ataków typu Stored Cross-Site Scripting (XSS), nawet gdy zdolność unfiltered_html jest wyłączona, np. w konfiguracji multisite.

Wpływ biznesowy

Podatność ta może prowadzić do wstrzyknięcia złośliwego kodu JavaScript przez uprawnionych użytkowników, co zagraża bezpieczeństwu witryny i jej użytkowników. Atakujący mogą wykorzystać lukę do przejęcia sesji lub wykonania nieautoryzowanych działań. W środowiskach multisite, gdzie unfiltered_html jest wyłączone, ryzyko nadal występuje, co utrudnia ochronę.

Rekomendowane działania administratora

Zaleca się jak najszybszą aktualizację wtyczki Form Maker do wersji 1.15.26 lub nowszej udostępnionej przez 10Web. W przypadku braku możliwości natychmiastowej aktualizacji, ogranicz dostęp do panelu administracyjnego tylko do zaufanych użytkowników oraz monitoruj logi pod kątem podejrzanej aktywności. Przeglądaj i weryfikuj ustawienia wtyczki pod kątem potencjalnie niebezpiecznych wartości.

Źródła

• NVD
• Reference