MetForm dla WordPress podatny na przechowywany Cross-Site Scripting (CVE-2025-5684)

Co wiadomo

Wtyczka MetForm – Contact Form, Survey, Quiz, & Custom Form Builder dla Elementor w WordPress do wersji 4.0.1 zawiera lukę umożliwiającą przechowywany Cross-Site Scripting (XSS) poprzez element DOM `mf-template`. Atakujący z uprawnieniami co najmniej na poziomie Współtwórcy mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzin zainfekowanej strony.

Wpływ biznesowy

Luka ta pozwala na wykonanie złośliwego kodu w kontekście przeglądarki użytkownika, co może prowadzić do kradzieży danych sesji, manipulacji zawartością strony lub innych działań szkodliwych dla użytkowników i reputacji firmy. Operatorzy stron opartych na WordPress z zainstalowaną wtyczką MetForm powinni traktować tę podatność jako istotne zagrożenie dla bezpieczeństwa i integralności swoich serwisów.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki MetForm u jej dostawcy oraz ich wdrożenie. W międzyczasie warto ograniczyć uprawnienia użytkowników do minimum niezbędnego do pracy, monitorować logi pod kątem podejrzanych działań oraz rozważyć zastosowanie dodatkowych mechanizmów ochrony przed XSS, takich jak Web Application Firewall (WAF).

Źródła

• NVD
• Reference
• Reference