Уразливість у плагіні Contact Form & Lead Form Elementor Builder дозволяє зберігання XSS-атак

Що відомо

Плагін Responsive Contact Form Builder & Lead Generation для WordPress до версії 1.8.9 не очищує та не екранує деякі налаштування, що дозволяє адміністраторам виконувати збережені XSS-атаки навіть без права unfiltered_html, наприклад у мультисайтових середовищах.

Бізнес-вплив

Ця уразливість може призвести до виконання шкідливого коду у браузерах користувачів з високими привілеями, що ставить під загрозу безпеку вебсайту та конфіденційність даних. Власники сайтів на WordPress, які використовують цей плагін, ризикують компрометацією адміністративних облікових записів та подальшими атаками на інфраструктуру.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна від розробника themehunk та застосувати їх, якщо доступні. Якщо оновлення відсутні, слід обмежити доступ до плагіна лише довіреним адміністраторам, провести аудит логів на предмет підозрілої активності та зменшити експозицію сайту. Також варто розглянути тимчасове відключення плагіна у мультисайтових середовищах до виправлення.

Джерела

• NVD
• Reference