Уразливість Stored XSS у плагіні Form For All для WordPress (CVE-2023-5337)

Що відомо

Плагін Contact form Form For All для WordPress версій до 1.2 включно містить уразливість збереженого міжсайтового скриптингу (Stored XSS) через shortcode 'formforall'. Це дозволяє автентифікованим користувачам з рівнем доступу contributor і вище впроваджувати довільні скрипти, які виконуються при перегляді сторінок.

Бізнес-вплив

Уразливість може призвести до виконання шкідливих скриптів на сайті, що ставить під загрозу безпеку користувачів і цілісність вебресурсу. Це може вплинути на довіру клієнтів і призвести до компрометації даних або сесій користувачів. Власникам сайтів слід оцінити ризики та пріоритетність усунення цієї проблеми.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна Form For All від розробника та застосувати їх. Якщо оновлення недоступні, обмежте доступ користувачів до рівня contributor і вище, перегляньте журнали на предмет підозрілої активності, а також мінімізуйте використання shortcode 'formforall' до усунення вразливості.

Джерела

• NVD
• Reference
• Reference