CVE-2024-12505: Stored XSS w wtyczce Trackserver dla WordPress

Co wiadomo

Wtyczka Trackserver dla WordPress do wersji 5.0.2 jest podatna na atak typu Stored Cross-Site Scripting (XSS) poprzez shortcode 'tsmap'. Niedostateczne filtrowanie i zabezpieczenie danych wejściowych pozwala użytkownikom z uprawnieniami co najmniej współtwórcy na wstrzyknięcie złośliwych skryptów, które wykonują się przy odwiedzeniu zainfekowanej strony.

Wpływ biznesowy

Atakujący z dostępem na poziomie współtwórcy mogą wstrzykiwać złośliwe skrypty, co może prowadzić do kradzieży sesji, manipulacji zawartością strony lub innych działań szkodliwych dla użytkowników i reputacji firmy. Zagrożenie to wymaga uwagi operatorów IT, zwłaszcza w środowiskach z wieloma użytkownikami posiadającymi uprawnienia do edycji treści.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Trackserver i ich wdrożenie. W międzyczasie ogranicz dostęp użytkowników do poziomu współtwórcy i wyżej, monitoruj logi pod kątem podejrzanej aktywności oraz rozważ zastosowanie dodatkowych mechanizmów filtrowania i zabezpieczeń na poziomie aplikacji.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference