CVE-2023-3501
ŚrednieCVSS 4.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 32 - wyżej niż 32% wszystkich znanych CVE
Streszczenie
Wtyczka FormCraft dla WordPressa w wersjach przed 1.2.7 nie sanitizuje i nie ucieka niektórych ustawień, co może umożliwić użytkownikom o wysokich uprawnieniach, takim jak administratorzy, przeprowadzenie ataków typu Stored Cross-Site Scripting, nawet gdy możliwość unfiltered_html jest zablokowana.
Ocena ryzyka
Organizacje mogą być narażone na ataki XSS, które mogą prowadzić do kradzieży danych lub przejęcia kont użytkowników o wysokich uprawnieniach.
Rekomendacja
Zaleca się aktualizację wtyczki FormCraft do wersji 1.2.7 lub nowszej, aby zlikwidować tę podatność.
Oryginalny opis (angielski, źródło NVD)
The FormCraft WordPress plugin before 1.2.7 does not sanitise and escape some of its settings, which could allow high privilege users such as admin to perform Stored Cross-Site Scripting attacks even when the unfiltered_html capability is disallowed (for example in multisite setup).