CVE-2024-2198

O plugin “The Contact Form by BestWebSoft” para o WordPress, nas versões até e incluindo a 4.2.8

O problema decorre de uma sanitização insuficiente das entradas e de uma escapagem insuficiente das saídas, permitindo que invasores não autenticados injetem scripts web arbitrários por meio do parâmetro cntctfrm contact address. Isso permite que invasores executem scripts nas páginas se conseguirem induzir um usuário a realizar uma ação específica, como clicar em um link.

Para versões até e incluindo a 4.2.8, atualize para uma versão superior à 4.2.8 para resolver o problema. Como solução temporária, considere restringir o acesso ao parâmetro cntctfrm contact address para minimizar o risco de exploração.