Analityczne wykorzystywanie plików cookies
CVE-2024-13506: Stored Cross-Site Scripting w wtyczce GeoDirectory dla WordPress
Wtyczka GeoDirectory do WordPress ma lukę Stored XSS w parametrze display_name. Sprawdź zalecenia bezpieczeństwa i aktualizacje.
- CVSS
- 6.4 MEDIUM
- EPSS
- 34.89%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- -
Co wiadomo
Wtyczka GeoDirectory – WP Business Directory oraz Classified Listings Directory dla WordPress do wersji 2.8.97 włącznie zawiera lukę Stored Cross-Site Scripting (XSS) poprzez parametr profile display_name. Luka wynika z niewystarczającej sanitacji danych wejściowych i braków w escapowaniu wyjścia, umożliwiając atakującym z poziomem subskrybenta lub wyższym wstrzyknięcie złośliwych skryptów.
Wpływ biznesowy
Luka pozwala na wykonanie złośliwego kodu JavaScript w kontekście przeglądarki użytkownika odwiedzającego zainfekowaną stronę, co może prowadzić do kradzieży sesji, przekierowań lub innych działań szkodliwych dla użytkowników i reputacji firmy. Operatorzy stron korzystających z tej wtyczki powinni traktować tę lukę jako istotne zagrożenie dla bezpieczeństwa aplikacji webowej i danych użytkowników.
Rekomendowane działania administratora
Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki GeoDirectory i jej komponentów oraz ich wdrożenie. W przypadku braku łatki należy ograniczyć dostęp użytkowników do poziomu subskrybenta lub wyższego, monitorować logi pod kątem podejrzanych działań oraz rozważyć zastosowanie dodatkowych mechanizmów filtrowania i sanitacji danych wejściowych. Priorytetem jest szybka reakcja i minimalizacja ekspozycji na atak.