CVE-2024-8542: Luka w wtyczce Everest Forms dla WordPress

Co wiadomo

Wtyczka Everest Forms dla WordPress w wersjach przed 3.0.3.1 nieprawidłowo oczyszcza i zabezpiecza niektóre ustawienia, co może pozwolić użytkownikom o wysokich uprawnieniach, takim jak administratorzy, na przeprowadzenie ataków typu Stored Cross-Site Scripting, nawet gdy zdolność unfiltered_html jest wyłączona, np. w konfiguracji multisite.

Wpływ biznesowy

Atakujący z uprawnieniami administratora mogą wykorzystać tę lukę do wstrzyknięcia złośliwego kodu JavaScript, co może prowadzić do przejęcia sesji, manipulacji danymi lub innych działań szkodliwych dla użytkowników i systemu. W środowiskach multisite, gdzie unfiltered_html jest wyłączone, ryzyko nadal występuje, co zwiększa potencjalne zagrożenie dla całej infrastruktury WordPress.

Rekomendowane działania administratora

Zaleca się jak najszybszą aktualizację wtyczki Everest Forms do wersji 3.0.3.1 lub nowszej, w której luka została załatana. W międzyczasie warto ograniczyć dostęp do panelu administracyjnego tylko do zaufanych użytkowników, monitorować logi pod kątem podejrzanych działań oraz przeglądać i weryfikować ustawienia wtyczki pod kątem nieautoryzowanych zmian.

Źródła

• NVD
• Reference