Analityczne wykorzystywanie plików cookies
Luka wtyczki Staff/Employee Business Directory dla Active Directory umożliwia wstrzyknięcie JavaScript
Wtyczka WordPress Staff/Employee Business Directory dla Active Directory przed 1.2.3 umożliwia wstrzyknięcie JavaScript przez niezabezpieczone dane LDAP, narażając administratorów stron.
- CVSS
- 5.4 MEDIUM
- EPSS
- 32.18%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- staff \/ employee business directory for active directory
Co wiadomo
Wtyczka WordPress Staff/Employee Business Directory dla Active Directory w wersjach przed 1.2.3 nie sanitizuje danych z serwera LDAP, co pozwala użytkownikom kontrolującym wpisy LDAP na wstrzyknięcie złośliwego JavaScript. Atak ten może być wykorzystany przeciwko użytkownikom o wysokich uprawnieniach, takim jak administratorzy stron.
Wpływ biznesowy
Luka umożliwia atakującym z dostępem do wpisów LDAP wykonanie złośliwego kodu JavaScript w kontekście przeglądarki użytkowników o wysokich uprawnieniach, co może prowadzić do przejęcia kontroli nad panelem administracyjnym strony. Może to skutkować utratą integralności i poufności danych oraz zakłóceniem działania serwisu opartego na WordPress.
Rekomendowane działania administratora
Administratorzy powinni niezwłocznie zweryfikować i zaktualizować wtyczkę do wersji 1.2.3 lub nowszej, jeśli jest dostępna. W przypadku braku natychmiastowej aktualizacji zaleca się ograniczenie dostępu do edycji wpisów LDAP oraz monitorowanie logów pod kątem podejrzanych działań. Dodatkowo warto przeprowadzić przegląd konfiguracji LDAP i wdrożyć mechanizmy sanitizacji danych wyświetlanych na stronie.