Luka XSS w wtyczce FormCraft dla WordPress (CVE-2026-7232)

Co wiadomo

Wtyczka FormCraft do WordPressa do wersji 3.9.14 jest podatna na przechowywany atak Cross-Site Scripting (XSS) poprzez niewystarczającą sanitację i eskapowanie danych wejściowych w parametrze '[parameter name]'. Atakujący mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzin zainfekowanej strony.

Wpływ biznesowy

Podatność umożliwia nieautoryzowanym osobom wstrzyknięcie i wykonanie złośliwego kodu JavaScript w kontekście strony, co może prowadzić do kradzieży danych sesji, manipulacji treścią strony lub innych działań szkodliwych dla użytkowników i reputacji firmy. Operatorzy IT powinni traktować tę lukę jako wysokiego ryzyka, zwłaszcza w środowiskach z dużym ruchem i wrażliwymi danymi.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki FormCraft i ich wdrożenie. W międzyczasie ogranicz dostęp do formularzy, monitoruj logi pod kątem podejrzanych aktywności oraz rozważ zastosowanie dodatkowych mechanizmów filtrowania i walidacji danych wejściowych. Priorytetyzuj działania naprawcze w oparciu o ekspozycję i krytyczność środowiska.

Źródła

• NVD
• Reference
• Reference