CVE-2025-8280: podatność XSS w wtyczce Contact Form 7 reCAPTCHA

Co wiadomo

Wtyczka Contact Form 7 reCAPTCHA do WordPressa w wersjach do 1.2.0 nie zabezpiecza parametru $_SERVER['REQUEST_URI'] przed wyświetleniem, co może prowadzić do ataku typu Reflected Cross-Site Scripting (XSS) w starszych przeglądarkach internetowych. Luka ma średni poziom zagrożenia (CVSS 5.8).

Wpływ biznesowy

Atak XSS może umożliwić atakującym wykonanie złośliwego kodu w kontekście przeglądarki użytkownika, co może prowadzić do kradzieży danych sesji lub manipulacji zawartością strony. Dla operatorów stron opartych na WordPress z tą wtyczką istnieje ryzyko obniżenia zaufania użytkowników i potencjalnych problemów z bezpieczeństwem danych. Warto zwrócić uwagę na wersję wtyczki i środowisko użytkowników, szczególnie jeśli korzystają ze starszych przeglądarek.

Rekomendowane działania administratora

Zaleca się sprawdzenie dostępności aktualizacji wtyczki Contact Form 7 reCAPTCHA u jej dostawcy oraz ich szybkie wdrożenie. W międzyczasie warto ograniczyć ekspozycję podatnych parametrów, monitorować logi serwera pod kątem podejrzanych żądań oraz edukować użytkowników o ryzyku korzystania ze starych przeglądarek. Priorytetem jest aktualizacja do wersji, w której luka została załatana.

Źródła

• NVD
• Reference