Fluent Forms WordPress: podatność Stored XSS w parametrze permission_message

Co wiadomo

Wtyczka Fluent Forms dla WordPress do tworzenia formularzy jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez parametr 'permission_message' w wersjach do 6.2.1 włącznie. Atakujący z uprawnieniami co najmniej na poziomie współtwórcy mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzin zainfekowanej strony.

Wpływ biznesowy

Podatność umożliwia atakującym z dostępem współtwórcy lub wyższym wstrzyknięcie i wykonanie złośliwego kodu JavaScript w kontekście strony, co może prowadzić do kradzieży danych sesji, manipulacji treścią lub dalszych ataków na użytkowników. Może to wpłynąć na reputację firmy oraz bezpieczeństwo danych klientów korzystających z formularzy na stronie.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Fluent Forms i wdrożenie najnowszej wersji zawierającej poprawkę. W przypadku braku możliwości aktualizacji, ogranicz uprawnienia użytkowników do minimum oraz monitoruj logi pod kątem podejrzanych działań. Dodatkowo warto przeprowadzić przegląd i oczyszczenie istniejących danych wprowadzonych przez użytkowników w formularzach.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference