Вразливість Stored XSS у Contact Form 7 with ChatWork для WordPress

Що відомо

Плагін Contact Form 7 with ChatWork для WordPress версій до 1.1.0 включно має вразливість збереженого міжсайтового скриптингу (Stored XSS) через налаштування 'api_token' та 'roomid'. Атакуючі з правами адміністратора можуть впроваджувати шкідливі скрипти, які виконуються при відкритті сторінки налаштувань.

Бізнес-вплив

Ця вразливість може дозволити адміністраторам ізловживати довірою системи, впроваджуючи шкідливий код, що може вплинути на безпеку користувачів і цілісність сайту. Вона актуальна для мультисайтових інсталяцій або там, де параметр unfiltered_html вимкнено, що може призвести до компрометації конфіденційних даних або порушення роботи вебресурсу.

Рекомендовані дії адміністратора

Адміністраторам рекомендується перевірити наявність оновлень плагіна Contact Form 7 with ChatWork та застосувати їх, якщо вони доступні. Якщо оновлення відсутні, слід обмежити доступ до сторінок налаштувань лише довіреним адміністраторам, переглянути журнали на предмет підозрілої активності та мінімізувати використання мультисайтових конфігурацій або параметра unfiltered_html, щоб знизити ризики.

Джерела

• NVD
• Reference
• Reference
• Reference
• Reference