Atualize esta semana
Form Maker by 10Web · plugin de formulários
Vulnerável: antes da 1.15.51Seguro: 1.15.51 ou superior
Qualquer visitante pode enviar um formulário com um código escondido que roda no navegador do administrador quando ele abre as respostas no painel. Com isso, o invasor pode agir em nome do administrador e até tomar o site.
Você mesmo
- Atualizar o Form Maker para a 1.15.51 ou mais recente.
- Até atualizar, evitar abrir a lista de envios dos formulários no painel.
- Conferir em Usuários se há administradores desconhecidos.
Seu dev ou hospedagem
- Procurar tags , onerror= ou javascript: nos envios salvos (tabela wp_formmaker_submits).
- Aplicar CSP no wp-admin para reduzir o impacto de scripts injetados.
- Revisar no log de atividades ações feitas pelo administrador logo após abrir os envios.
Detalhes técnicos: Antes da 1.15.51, o Form Maker by 10Web não escapa de forma consistente os valores enviados nos campos antes de exibi-los na página de envios do painel. Um visitante sem login pode enviar um formulário com um script (XSS armazenado) que roda na sessão do administrador quando ele abre os envios, permitindo agir em nome dele. CVSS 7.5 (exige que o administrador abra a página); sem relato de exploração ativa. Corrigido na 1.15.51.