CVE-2024-10621: podatność XSS w wtyczce Simple Shortcode for Google Maps dla WordPress

Co wiadomo

Wtyczka Simple Shortcode for Google Maps do WordPressa jest podatna na przechowywany atak Cross-Site Scripting (XSS) poprzez shortcode pw_map we wszystkich wersjach do 1.5.4 włącznie. Luka wynika z niewystarczającej sanitacji i escapingu danych wejściowych dostarczanych przez użytkownika, co umożliwia atakującym z uprawnieniami co najmniej współtwórcy wstrzyknięcie złośliwych skryptów.

Wpływ biznesowy

Atakujący z dostępem na poziomie współtwórcy lub wyższym mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzania zainfekowanych stron, co może prowadzić do kradzieży danych sesji, manipulacji treścią lub dalszych ataków na użytkowników i administratorów. Organizacje korzystające z tej wtyczki powinny traktować tę lukę poważnie, zwłaszcza jeśli mają wielu użytkowników z uprawnieniami do edycji treści.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki u jej dostawcy i wdrożenie najnowszej wersji zawierającej poprawki bezpieczeństwa. W międzyczasie ogranicz dostęp do edycji treści tylko do zaufanych użytkowników oraz monitoruj logi pod kątem podejrzanych działań. Przeprowadź przegląd i oczyszczenie istniejących stron pod kątem potencjalnych wstrzyknięć skryptów.

Źródła

• NVD
• Reference
• Reference