The Fluent Forms – Customizable Contact Forms, Survey, Quiz, & Conversational Form Builder plugin...
概要
The Fluent Forms – Customizable Contact Forms, Survey, Quiz, & Conversational Form Builder plugin...
原文の説明
取得元が公開している説明をそのまま載せています (多くは英語)。
The Fluent Forms – Customizable Contact Forms, Survey, Quiz, & Conversational Form Builder plugin for WordPress is vulnerable to Stored Cross-Site Scripting via Notification Smartcode Values in all versions up to, and including, 6.2.11 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts that execute in the browser of an administrator (or any user with the Fluent Forms entry-viewing capability) when they view the form's entry Submission Logs in the WordPress admin dashboard. Exploitation requires that a site administrator or Fluent Forms manager has configured an email notification whose subject or static (direct) Send To value references an attacker-influenced Smartcode such as an input_password field value, a cookie value, or submission.response.
出典: NIST National Vulnerability Database NVD GitHub Advisory
AI要約
外部の AI が作成した要約です。誤りを含むことがあります。重要な判断の前に、下の原文と参照URLを確認してください。
WordPressのプラグインFluent Formsにおける通知スマートコード値を通じた保存型クロスサイトスクリプティングの脆弱性が報告されました。すべてのバージョン6.2.11までが影響を受けており、入力のサニタイズと出力エスケープが不十分です。この脆弱性により、認証されていない攻撃者が任意のスクリプトを注入し、管理者やFluent Formsのエントリを閲覧する権限を持つユーザーのブラウザで実行される可能性があります。
Fluent Formsプラグインでの通知スマートコード値を通じた保存型クロスサイトスクリプティングの脆弱性です。
WordPressプラグインのFluent Forms、バージョン6.2.11以下。
管理者のブラウザで任意のスクリプトが実行可能となるため、非常に深刻です。
プラグインを最新バージョンにアップデートしてください。
エントリを表示する権限を持つユーザーのアクセスを制限するか、スマートコードとして覚えられるデータを最小化してください。
プラグインのバージョンを確認し、6.2.11以前であればアップデートを実施します。