CVE-2024-11866: BMLT Tabbed Map dla WordPress - podatność na trwały Cross-Site Scripting

Co wiadomo

Wtyczka BMLT Tabbed Map dla WordPress do wersji 1.1.8 włącznie posiada lukę typu Stored Cross-Site Scripting (XSS) w shortcode 'bmlt_tabbed_map', wynikającą z niewystarczającej sanitacji i escapingu danych wejściowych. Atakujący z uprawnieniami co najmniej współtwórcy mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzin zainfekowanej strony.

Wpływ biznesowy

Podatność umożliwia atakującym z dostępem na poziomie współtwórcy lub wyższym wstrzyknięcie złośliwego kodu JavaScript, co może prowadzić do przejęcia sesji użytkowników, defraudacji danych lub dalszych ataków na infrastrukturę. Organizacje korzystające z tej wtyczki powinny traktować tę lukę poważnie, zwłaszcza jeśli dostęp do panelu WordPress jest szeroko udostępniony.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki BMLT Tabbed Map u jej dostawcy i wdrożenie poprawek. W międzyczasie ogranicz dostęp do panelu WordPress tylko do zaufanych użytkowników, przeglądaj logi pod kątem podejrzanej aktywności oraz rozważ zastosowanie mechanizmów zapobiegających XSS. Priorytetyzuj działania zabezpieczające w środowiskach z wieloma użytkownikami o podwyższonych uprawnieniach.

Źródła

• NVD
• Reference
• Reference