CVE-2024-6517: podatność XSS w wtyczce Contact Form 7 Math Captcha

Co wiadomo

Wtyczka Contact Form 7 Math Captcha do WordPressa w wersjach do 2.0.1 nie sanitizuje i nie ucieka odpowiednio parametru przed jego wyświetleniem, co prowadzi do podatności typu Reflected Cross-Site Scripting (XSS). Atakujący mogą wykorzystać tę lukę przeciwko użytkownikom o wysokich uprawnieniach.

Wpływ biznesowy

Podatność XSS może pozwolić atakującym na wykonanie złośliwego kodu w kontekście przeglądarki administratorów lub innych użytkowników z wysokimi uprawnieniami, co może skutkować przejęciem kontroli nad stroną lub wyciekiem danych. Operatorzy stron korzystających z tej wtyczki powinni traktować tę lukę jako istotne zagrożenie dla bezpieczeństwa CMS i danych użytkowników.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Contact Form 7 Math Captcha u dostawcy dotsquares i ich wdrożenie. W przypadku braku aktualizacji należy ograniczyć ekspozycję wtyczki, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie wtyczki. Priorytetowo należy zabezpieczyć konta o wysokich uprawnieniach i edukować użytkowników o ryzyku phishingu i XSS.

Źródła

• NVD
• Reference