Analityczne wykorzystywanie plików cookies
Luka wtyczki FormCraft dla WordPress umożliwiająca ataki XSS przez pliki SVG
Wtyczka FormCraft do WordPress ma lukę XSS przez pliki SVG do wersji 3.9.11. Zalecane szybkie aktualizacje i ograniczenia przesyłania SVG.
- CVSS
- 7.2 HIGH
- EPSS
- 26.32%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- formcraft
Co wiadomo
Wtyczka FormCraft dla WordPress do wersji 3.9.11 włącznie jest podatna na przechowywany atak Cross-Site Scripting (XSS) poprzez przesyłanie plików SVG. Luka wynika z niewystarczającej sanitacji danych wejściowych i braku odpowiedniego zabezpieczenia wyjścia, co pozwala nieautoryzowanym atakującym na wstrzyknięcie złośliwych skryptów.
Wpływ biznesowy
Atakujący mogą wykorzystać tę lukę do wykonania złośliwego kodu JavaScript w przeglądarce użytkowników odwiedzających strony z załadowanymi plikami SVG, co może prowadzić do kradzieży danych sesji, przejęcia konta lub innych działań szkodliwych dla użytkowników i reputacji firmy. Właściciele stron opartych na WordPress z zainstalowaną wtyczką FormCraft powinni potraktować tę lukę jako wysokiego ryzyka i podjąć odpowiednie kroki w celu zabezpieczenia infrastruktury.
Rekomendowane działania administratora
Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki FormCraft u dostawcy oraz ich wdrożenie. W przypadku braku łatki, należy ograniczyć możliwość przesyłania plików SVG lub całkowicie je wyłączyć. Dodatkowo warto przejrzeć logi serwera pod kątem podejrzanej aktywności oraz monitorować ruch sieciowy. Priorytetem jest szybka reakcja i minimalizacja ekspozycji na ataki XSS.