CVE-2024-2200

O plugin “The Contact Form by BestWebSoft” para o WordPress, nas versões até e incluindo a 4.2.8

O problema decorre de uma sanitização insuficiente das entradas e de uma escapagem insuficiente das saídas, permitindo que invasores não autenticados injetem scripts web arbitrários por meio do parâmetro cntctfrm contact subject. Isso permite que invasores executem scripts se conseguirem induzir um usuário a realizar uma ação específica, como clicar em um link.

Para versões até e incluindo a 4.2.8, atualize para uma versão superior à 4.2.8 para resolver o problema. Como solução temporária, considere restringir o acesso ao parâmetro cntctfrm contact subject para minimizar o risco de exploração.