CVE-2023-4839: podatność Stored Cross-Site Scripting w WP Go Maps

Co wiadomo

WP Go Maps dla WordPress do wersji 9.0.32 włącznie jest podatny na atak Stored Cross-Site Scripting (XSS) poprzez ustawienia administratora z powodu niewystarczającej sanitacji danych wejściowych i ucieczki znaków wyjściowych. Atakujący z uprawnieniami administratora mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzin zainfekowanej strony.

Wpływ biznesowy

Podatność ta dotyczy instalacji multisite oraz tych, gdzie wyłączono filtr unfiltered_html, co może prowadzić do wykonania złośliwych skryptów przez użytkowników odwiedzających zainfekowane strony. Może to skutkować kradzieżą danych sesji, manipulacją treścią lub innymi atakami na użytkowników i administratorów witryny. Operatorzy powinni zwrócić uwagę na potencjalne ryzyko dla integralności i bezpieczeństwa swoich stron WordPress.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki WP Go Maps u dostawcy oraz ich wdrożenie. W międzyczasie warto ograniczyć uprawnienia administratorów, monitorować logi pod kątem podejrzanych działań oraz zweryfikować konfigurację multisite i ustawienia unfiltered_html. Priorytetem jest minimalizacja ekspozycji i szybka reakcja na potencjalne incydenty.

Źródła

• NVD
• Reference
• Reference