Analityczne wykorzystywanie plików cookies
CVE-2023-5128: podatność Stored XSS w wtyczce TCD Google Maps dla WordPress
Podatność Stored XSS w wtyczce TCD Google Maps dla WordPress umożliwia wstrzyknięcie złośliwych skryptów przez użytkowników z uprawnieniami współtwórcy.
- CVSS
- 6.4 MEDIUM
- EPSS
- 42.47%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- tcd google maps
Co wiadomo
Wtyczka TCD Google Maps dla WordPress w wersjach do 1.8 włącznie jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez shortcode 'map' z powodu niewystarczającej sanitacji i ucieczki danych wejściowych. Umożliwia to uwierzytelnionym użytkownikom z uprawnieniami co najmniej na poziomie współtwórcy wstrzyknięcie złośliwych skryptów, które wykonują się przy odwiedzeniu zainfekowanej strony.
Wpływ biznesowy
Atakujący posiadający konto z uprawnieniami współtwórcy lub wyższymi mogą wstrzyknąć złośliwy kod JavaScript, co może prowadzić do przejęcia sesji użytkowników, kradzieży danych lub manipulacji zawartością strony. Dla operatorów IT i właścicieli infrastruktury oznacza to ryzyko naruszenia integralności i bezpieczeństwa witryny oraz potencjalne szkody wizerunkowe.
Rekomendowane działania administratora
Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki TCD Google Maps i jej instalację. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do niezbędnego minimum, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie wtyczki. Warto również przeprowadzić audyt bezpieczeństwa i edukować użytkowników o ryzyku XSS.