CVE-2022-50959
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 11 - wyżej niż 11% wszystkich znanych CVE
Streszczenie
WordPress Contact Form Builder 1.6.1 zawiera odbitą podatność XSS, która pozwala nieuwierzytelnionym atakującym na wstrzykiwanie złośliwych skryptów poprzez parametr form_id. Atakujący mogą tworzyć złośliwe URL-e do code_generator.php z ładunkiem skryptu w parametrze form_id, aby wykonać dowolny JavaScript w przeglądarkach ofiar.
Ocena ryzyka
Atakujący może wykraść sesje użytkowników, przekierować ich na złośliwe strony lub wykraść poufne dane, co zagraża poufności i integralności danych.
Rekomendacja
Zaleca się aktualizację wtyczki Contact Form Builder do najnowszej wersji oraz walidację i sanityzację parametru form_id.
Oryginalny opis (angielski, źródło NVD)
WordPress Contact Form Builder 1.6.1 contains a reflected cross-site scripting vulnerability that allows unauthenticated attackers to inject malicious scripts by exploiting the form_id parameter. Attackers can craft malicious URLs to code_generator.php with script payloads in the form_id parameter to execute arbitrary JavaScript in victim browsers.