WP GeoNames dla WordPress narażony na atak Stored Cross-Site Scripting (CVE-2024-11757)

Co wiadomo

Wtyczka WP GeoNames dla WordPress do wersji 1.9.0.1 włącznie zawiera lukę umożliwiającą atak Stored Cross-Site Scripting (XSS) poprzez shortcode 'wp-geonames'. Luka wynika z niewystarczającej sanitacji i escapingu danych wejściowych przekazywanych przez użytkowników, co pozwala na wstrzyknięcie złośliwych skryptów przez użytkowników z uprawnieniami co najmniej na poziomie współtwórcy.

Wpływ biznesowy

Atakujący z uprawnieniami współtwórcy lub wyższymi mogą wstrzykiwać złośliwe skrypty, które wykonają się w przeglądarce innych użytkowników odwiedzających zainfekowane strony. Może to prowadzić do kradzieży sesji, przejęcia kont lub innych działań szkodliwych dla integralności i bezpieczeństwa witryny oraz jej użytkowników. Właściciele stron muszą zwrócić uwagę na potencjalne ryzyko związane z tą luką, zwłaszcza w środowiskach z wieloma użytkownikami o różnym poziomie dostępu.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki WP GeoNames i jej instalację, jeśli jest dostępna. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do niezbędnego minimum, szczególnie dla ról z możliwością korzystania ze shortcode 'wp-geonames'. Dodatkowo warto monitorować logi serwera pod kątem podejrzanych działań oraz rozważyć zastosowanie mechanizmów zabezpieczających przed XSS, takich jak Web Application Firewall (WAF).

Źródła

• NVD
• Reference
• Reference