Fluent Forms dla WordPress podatny na przechowywany Cross-Site Scripting (CVE-2025-3615)

Co wiadomo

Wtyczka Fluent Forms dla WordPress do wersji 6.0.2 włącznie jest podatna na przechowywany Cross-Site Scripting (XSS) z powodu niewystarczającej sanitacji danych wejściowych i ucieczki znaków w skrypcie form-submission.js. Atakujący z uprawnieniami co najmniej na poziomie Współtwórcy mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzin zainfekowanej strony.

Wpływ biznesowy

Podatność umożliwia atakującym z dostępem na poziomie Współtwórcy lub wyższym wstrzyknięcie złośliwego kodu JavaScript, co może prowadzić do kradzieży sesji, manipulacji zawartością strony lub innych działań szkodliwych dla użytkowników i administratorów. W środowiskach biznesowych może to skutkować utratą zaufania klientów oraz naruszeniem bezpieczeństwa danych.

Rekomendowane działania administratora

Administratorzy powinni niezwłocznie sprawdzić dostępność aktualizacji wtyczki Fluent Forms i zastosować najnowsze poprawki od producenta. W międzyczasie zaleca się ograniczenie uprawnień użytkowników do niezbędnego minimum, monitorowanie logów pod kątem podejrzanych aktywności oraz przegląd konfiguracji zabezpieczeń aplikacji webowej.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference