CVE-2025-6740: podatność Stored XSS w wtyczce Contact Form 7 Database Addon

Co wiadomo

Wtyczka Contact Form 7 Database Addon dla WordPress do wersji 1.3.1 włącznie jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez parametr 'tmpD'. Brak odpowiedniej sanitizacji i escapingu danych umożliwia nieautoryzowanym atakującym wstrzyknięcie złośliwych skryptów, które wykonują się podczas odwiedzin zainfekowanej strony.

Wpływ biznesowy

Atakujący mogą wykorzystać tę podatność do wykonania złośliwych skryptów w kontekście przeglądarki użytkownika, co może prowadzić do kradzieży danych sesji, przejęcia konta lub innych działań szkodliwych dla użytkowników i właścicieli stron. Zagrożenie to wpływa na bezpieczeństwo witryn opartych na WordPress z zainstalowaną podatną wersją wtyczki, co może skutkować utratą zaufania klientów i problemami prawnymi.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie wersji wtyczki Contact Form 7 Database Addon i aktualizację do najnowszej dostępnej wersji, jeśli została wydana poprawka. W przypadku braku aktualizacji należy ograniczyć dostęp do funkcji korzystających z parametru 'tmpD', przeprowadzić przegląd logów pod kątem podejrzanej aktywności oraz rozważyć wdrożenie dodatkowych mechanizmów filtrowania i sanitizacji danych wejściowych.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference