CVE-2024-10647

WS Form LITE – Construtor de formulários de contato com recurso de arrastar e soltar para o WordPress, versões até a 1.9.244, inclusive

O problema está relacionado a Cross-Site Scripting refletido devido ao uso de remove query arg sem o escape apropriado na URL. Isso permite que invasores não autenticados injetem scripts web arbitrários em páginas que serão executados caso consigam induzir um usuário a realizar uma ação, como clicar em um link.

Para versões até e incluindo a 1.9.244, atualize para uma versão que corrija o problema. Como solução temporária, considere restringir o acesso às funcionalidades do plugin para minimizar o risco de exploração. Evite usar links que possam ser potencialmente utilizados para injetar scripts web arbitrários até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.