CVE-2024-7056: luka XSS w wtyczce WPForms dla WordPress

Co wiadomo

Wtyczka WPForms dla WordPress w wersjach przed 1.9.1.6 nie sanitizuje i nie zabezpiecza niektórych ustawień, co umożliwia użytkownikom z wysokimi uprawnieniami, takim jak administratorzy, przeprowadzenie ataków typu Stored Cross-Site Scripting (XSS), nawet gdy zdolność unfiltered_html jest wyłączona, np. w konfiguracjach multisite.

Wpływ biznesowy

Atakujący z uprawnieniami administratora mogą wykorzystać tę lukę do wstrzyknięcia złośliwego kodu JavaScript, co może prowadzić do przejęcia sesji, manipulacji danymi lub innych działań szkodliwych dla integralności i bezpieczeństwa witryny. Choć ocena CVSS wskazuje na niskie ryzyko, w środowiskach wielostanowiskowych zagrożenie może być poważniejsze ze względu na ograniczenia w filtrowaniu HTML.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie i aktualizację wtyczki WPForms do wersji 1.9.1.6 lub nowszej, jeśli jest dostępna. W przypadku braku możliwości natychmiastowej aktualizacji, ogranicz uprawnienia użytkowników administracyjnych oraz monitoruj logi pod kątem podejrzanych działań. Dodatkowo warto przejrzeć konfigurację multisite i rozważyć wzmocnienie polityk bezpieczeństwa dotyczących filtrowania treści.

Źródła

• NVD
• Reference