CVE-2021-47926
ŚrednieCVSS 6.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 9 - wyżej niż 9% wszystkich znanych CVE
Streszczenie
Contact Form to Email 1.3.24 zawiera podatność na trwałe XSS, umożliwiającą uwierzytelnionym atakującym wstrzykiwanie złośliwych skryptów przez tworzenie formularzy z tagami skryptów w polu nazwy formularza. Atakujący mogą spreparować nazwy formularzy zawierające kod JavaScript, który wykonuje się u innych zalogowanych użytkowników odwiedzających stronę zarządzania formularzami, umożliwiając przejęcie sesji lub kradzież danych uwierzytelniających.
Ocena ryzyka
Atakujący może przejąć sesję innych zalogowanych użytkowników lub wykraść ich dane logowania, co prowadzi do nieautoryzowanego dostępu.
Rekomendacja
Zaktualizuj wtyczkę Contact Form to Email do wersji zawierającej poprawkę lub zastosuj dostępne łatki.
Oryginalny opis (angielski, źródło NVD)
Contact Form to Email 1.3.24 contains a stored cross-site scripting vulnerability that allows authenticated attackers to inject malicious scripts by creating forms with script tags in the form name field. Attackers can craft form names containing JavaScript code that executes when other logged-in users access the form management page, enabling session hijacking or credential theft.