Analityczne wykorzystywanie plików cookies
CVE-2024-7052: luka XSS w wtyczce Forminator Forms dla WordPress
Forminator Forms przed 1.38.3 umożliwia ataki XSS przez administratorów. Zalecana aktualizacja wtyczki w celu zabezpieczenia stron WordPress.
- CVSS
- 4.8 MEDIUM
- EPSS
- 24.4%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- forminator forms
Co wiadomo
Wtyczka Forminator Forms dla WordPress w wersjach przed 1.38.3 nieprawidłowo oczyszcza i zabezpiecza niektóre ustawienia, co umożliwia użytkownikom z wysokimi uprawnieniami, np. administratorom, przeprowadzenie ataków typu Stored Cross-Site Scripting, nawet gdy zdolność unfiltered_html jest wyłączona, np. w środowiskach multisite.
Wpływ biznesowy
Luka ta może prowadzić do wykonania złośliwego kodu JavaScript w kontekście przeglądarki administratora, co może skutkować przejęciem sesji, manipulacją danymi lub eskalacją uprawnień. W środowiskach multisite, gdzie unfiltered_html jest zwykle wyłączone, ryzyko pozostaje istotne, co wymaga uwagi właścicieli stron i operatorów IT korzystających z tej wtyczki.
Rekomendowane działania administratora
Zaleca się jak najszybszą aktualizację wtyczki Forminator Forms do wersji 1.38.3 lub nowszej udostępnionej przez wpmudev. W przypadku braku możliwości natychmiastowej aktualizacji, warto ograniczyć dostęp do kont z wysokimi uprawnieniami oraz monitorować logi pod kątem podejrzanych działań. Dodatkowo, należy przeglądać i weryfikować ustawienia wtyczki pod kątem potencjalnie niebezpiecznych wartości.