CVE-2023-3248
ŚrednieCVSS 4.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 32 - wyżej niż 32% wszystkich znanych CVE
Streszczenie
Wtyczka All-in-one Floating Contact Form dla WordPressa przed wersją 2.1.2 nie sanitizuje i nie ucieka niektórych swoich ustawień, co może pozwolić użytkownikom o wysokich uprawnieniach, takim jak administratorzy, na przeprowadzenie ataków typu Stored Cross-Site Scripting, nawet gdy możliwość unfiltered_html jest zablokowana.
Ocena ryzyka
Organizacja może być narażona na ataki XSS, które mogą prowadzić do kradzieży danych lub przejęcia kont użytkowników z wysokimi uprawnieniami.
Rekomendacja
Zaleca się aktualizację wtyczki do wersji 2.1.2 lub nowszej, aby zlikwidować tę podatność.
Oryginalny opis (angielski, źródło NVD)
The All-in-one Floating Contact Form WordPress plugin before 2.1.2 does not sanitise and escape some of its settings, which could allow high privilege users such as admin to perform Stored Cross-Site Scripting attacks even when the unfiltered_html capability is disallowed (for example in multisite setup)