CVE-2024-1582: podatność Stored XSS w wtyczce WP Go Maps dla WordPress

Co wiadomo

Wtyczka WP Go Maps (dawniej WP Google Maps) dla WordPressa jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez shortcode 'wpgmza' we wszystkich wersjach do 9.0.32 włącznie. Problem wynika z niewystarczającej sanitacji i escapingu danych wejściowych dostarczanych przez użytkownika.

Wpływ biznesowy

Atakujący z uprawnieniami co najmniej na poziomie współtwórcy mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzin zainfekowanych stron. Może to prowadzić do kradzieży danych sesji, przejęcia kont użytkowników lub innych działań szkodliwych dla integralności i bezpieczeństwa witryny. Zagrożenie jest istotne dla administratorów stron wykorzystujących tę wtyczkę.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki WP Go Maps u dostawcy oraz ich wdrożenie. W przypadku braku natychmiastowej aktualizacji warto ograniczyć uprawnienia użytkowników do minimum, monitorować logi pod kątem podejrzanych działań oraz rozważyć tymczasowe wyłączenie funkcji shortcode 'wpgmza'.

Źródła

• NVD
• Reference
• Reference