CVE-2024-3603: podatność Stored Cross-Site Scripting w wtyczce OpenStreetMap dla WordPress

Co wiadomo

Wtyczka OSM – OpenStreetMap dla WordPress do wersji 6.0.3 włącznie jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez shortcode 'osm_map' z powodu niewystarczającej sanitacji i escapingu danych wejściowych, takich jak atrybut 'theme'. Atakujący z uprawnieniami co najmniej współtwórcy mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzin zainfekowanej strony.

Wpływ biznesowy

Ta podatność umożliwia atakującym z dostępem do panelu WordPress na wstrzyknięcie złośliwego kodu, co może prowadzić do przejęcia sesji użytkowników, kradzieży danych lub dalszych ataków na infrastrukturę. W środowiskach CMS, gdzie wielu użytkowników ma uprawnienia edycyjne, ryzyko eskalacji incydentu jest znaczące. Niezabezpieczone instalacje mogą narazić organizację na utratę reputacji i naruszenia bezpieczeństwa danych.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie wersji wtyczki OpenStreetMap i aktualizację do najnowszej dostępnej wersji, jeśli jest dostępna. W przypadku braku aktualizacji należy ograniczyć uprawnienia użytkowników oraz monitorować logi pod kątem podejrzanej aktywności. Dodatkowo warto przeprowadzić przegląd i oczyszczenie istniejących treści pod kątem potencjalnych wstrzyknięć. DataHouse wspiera weryfikację wersji i zarządzanie aktualizacjami wtyczek oraz pomaga w ograniczaniu ekspozycji sieciowej i analizie logów.

Źródła

• NVD
• Reference
• Reference
• Reference