CVE-2024-12474: Wrażliwość Stored XSS w wtyczce GeoDataSource Country Region DropDown dla WordPress

Co wiadomo

Wtyczka GeoDataSource Country Region DropDown dla WordPress do wersji 1.0.1 jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez shortcode 'gds-country-dropdown' z powodu niewystarczającej sanitacji i eskapowania danych wejściowych. Atakujący z uprawnieniami co najmniej współtwórcy mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas przeglądania zainfekowanych stron.

Wpływ biznesowy

Ta luka pozwala na trwałe wstrzyknięcie złośliwego kodu JavaScript, co może prowadzić do kradzieży sesji, manipulacji treścią strony lub innych działań szkodliwych dla użytkowników i administratorów. W środowiskach WordPress z wieloma użytkownikami o podwyższonych uprawnieniach ryzyko eskalacji ataku jest większe, co może wpłynąć na reputację i bezpieczeństwo witryny.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki GeoDataSource Country Region DropDown i ich wdrożenie. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do niezbędnego minimum, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie wtyczki. Regularna weryfikacja i audyt bezpieczeństwa środowiska WordPress jest wskazana.

Źródła

• NVD
• Reference
• Reference