CVE-2024-13208: luka XSS w wtyczce WP Google Map

Co wiadomo

Wtyczka WP Google Map dla WordPress w wersjach przed 1.9.4 nie sanitizuje i nie ucieka niektórych ustawień, co umożliwia użytkownikom z wysokimi uprawnieniami, np. administratorom, przeprowadzenie ataków typu Stored Cross-Site Scripting, nawet gdy zdolność unfiltered_html jest wyłączona, np. w konfiguracjach multisite.

Wpływ biznesowy

Atakujący z uprawnieniami administratora mogą wykorzystać lukę do wstrzyknięcia złośliwego kodu JavaScript, co może prowadzić do przejęcia sesji, manipulacji treścią strony lub innych działań szkodliwych dla użytkowników i integralności serwisu. W środowiskach multisite, gdzie unfiltered_html jest zablokowane, luka nadal pozostaje aktywna, zwiększając ryzyko ataku.

Rekomendowane działania administratora

Zaleca się jak najszybszą aktualizację wtyczki WP Google Map do wersji 1.9.4 lub nowszej, w której luka została załatana. W przypadku braku możliwości natychmiastowej aktualizacji, warto ograniczyć dostęp do panelu administracyjnego tylko do zaufanych użytkowników oraz monitorować logi pod kątem podejrzanej aktywności. Regularne przeglądy i audyty bezpieczeństwa wtyczek WordPress są również wskazane.

Źródła

• NVD
• Reference