CVE-2023-4476: podatność Reflected XSS w wtyczce Locatoraid dla WordPress

Co wiadomo

Wtyczka Locatoraid Store Locator dla WordPress w wersjach przed 3.9.24 nie oczyszcza i nie zabezpiecza parametru lpr-search przed wyświetleniem na stronie, co umożliwia atak typu Reflected Cross-Site Scripting (XSS). Atak ten może być wymierzony w użytkowników o wysokich uprawnieniach, takich jak administratorzy.

Wpływ biznesowy

Podatność ta może pozwolić atakującym na wykonanie złośliwego kodu w kontekście przeglądarki administratorów strony, co może prowadzić do przejęcia sesji, kradzieży danych lub innych działań naruszających bezpieczeństwo witryny. Operatorzy stron korzystających z tej wtyczki powinni traktować tę lukę jako istotne zagrożenie dla integralności i poufności danych.

Rekomendowane działania administratora

Zaleca się niezwłoczne zaktualizowanie wtyczki Locatoraid do wersji 3.9.24 lub nowszej, w której problem został załatany. W przypadku braku możliwości aktualizacji, należy ograniczyć dostęp do panelu administracyjnego oraz monitorować logi pod kątem podejrzanej aktywności. Dodatkowo warto przeprowadzić przegląd i wzmocnienie zabezpieczeń aplikacji oraz edukować użytkowników o ryzyku ataków XSS.

Źródła

• NVD
• Reference