CVE-2025-3513: luka XSS w wtyczce SureForms dla WordPress

Co wiadomo

Wtyczka SureForms dla WordPress w wersjach przed 1.4.4 nieprawidłowo oczyszcza i zabezpiecza niektóre ustawienia formularzy, co umożliwia użytkownikom z wysokimi uprawnieniami, np. administratorom, przeprowadzenie ataków typu Stored Cross-Site Scripting, nawet gdy zdolność unfiltered_html jest wyłączona.

Wpływ biznesowy

Atakujący z uprawnieniami administratora mogą wykorzystać tę lukę do wstrzyknięcia złośliwego kodu JavaScript, co może prowadzić do przejęcia sesji, manipulacji danymi lub innych działań szkodliwych dla witryny i jej użytkowników. W środowiskach multisite ryzyko jest szczególnie istotne, ponieważ luka działa mimo ograniczeń unfiltered_html.

Rekomendowane działania administratora

Zaleca się jak najszybszą aktualizację wtyczki SureForms do wersji 1.4.4 lub nowszej udostępnionej przez producenta. W międzyczasie warto ograniczyć uprawnienia użytkowników oraz monitorować logi pod kątem podejrzanych działań. Przegląd konfiguracji multisite i polityk bezpieczeństwa również może pomóc w ograniczeniu ryzyka.

Źródła

• NVD
• Reference