Analityczne wykorzystywanie plików cookies
CVE-2025-2580: Stored Cross-Site Scripting w wtyczce Contact Form by Bit Form dla WordPress
Wtyczka Contact Form by Bit Form do WordPress ma lukę XSS w przesyłaniu plików SVG. Sprawdź zalecenia bezpieczeństwa i aktualizacje.
- CVSS
- 4.9 MEDIUM
- EPSS
- 19.41%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- -
Co wiadomo
Wtyczka Contact Form by Bit Form dla WordPress do wersji 2.18.3 włącznie jest podatna na atak Stored Cross-Site Scripting poprzez przesyłanie plików SVG. Luka wynika z niewystarczającej sanitacji danych wejściowych i braku odpowiedniego escapingu, co pozwala atakującym z uprawnieniami autora na wstrzyknięcie złośliwych skryptów.
Wpływ biznesowy
Atakujący z uprawnieniami autora lub wyższymi mogą wstrzykiwać i wykonywać złośliwe skrypty w kontekście witryny, co może prowadzić do kradzieży danych sesji, manipulacji treścią lub dalszych ataków na użytkowników. Właściciele stron korzystających z tej wtyczki powinni rozważyć ryzyko związane z dostępem użytkowników i potencjalnym wykorzystaniem tej luki.
Rekomendowane działania administratora
Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Contact Form by Bit Form i jej instalację. W międzyczasie ogranicz dostęp użytkowników do poziomu autora i wyższego oraz monitoruj logi serwera pod kątem podejrzanej aktywności związanej z plikami SVG. Przeanalizuj polityki przesyłania plików i rozważ blokowanie lub filtrowanie plików SVG.