CVE-2024-11854: Stored XSS w wtyczce Listdom dla WordPress

Co wiadomo

Wtyczka Listdom – Business Directory and Classified Ads Listings dla WordPress do wersji 3.7.0 jest podatna na atak typu Stored Cross-Site Scripting (XSS) poprzez parametr 'shortcode'. Atakujący z uprawnieniami co najmniej na poziomie Współpracownika mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzin zainfekowanej strony.

Wpływ biznesowy

Podatność umożliwia atakującym z dostępem na poziomie Współpracownika lub wyższym wstrzyknięcie i wykonanie złośliwego kodu JavaScript na stronach WordPress, co może prowadzić do przejęcia sesji użytkowników, kradzieży danych lub innych działań szkodliwych dla użytkowników i właścicieli serwisu. Może to wpłynąć na reputację firmy oraz bezpieczeństwo danych klientów.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Listdom i ich wdrożenie. W przypadku braku aktualizacji należy ograniczyć uprawnienia użytkowników do minimum oraz monitorować logi pod kątem podejrzanej aktywności. Warto także przeprowadzić przegląd i oczyszczenie istniejących treści pod kątem złośliwych skryptów oraz rozważyć wdrożenie dodatkowych mechanizmów zabezpieczających przed XSS.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference