Analityczne wykorzystywanie plików cookies
CVE-2024-3670: Stored Cross-Site Scripting w wtyczce Leaflet Maps Marker dla WordPress
Podatność XSS w wtyczce Leaflet Maps Marker (do 3.12.8) umożliwia ataki przez shortcode 'mapsmarker'. Zalecane szybkie aktualizacje i ograniczenia uprawnień.
- CVSS
- 6.4 MEDIUM
- EPSS
- 35.61%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- -
Co wiadomo
Wtyczka Leaflet Maps Marker dla WordPress (do wersji 3.12.8 włącznie) jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez shortcode 'mapsmarker'. Luka wynika z niewystarczającej sanitacji i escapingu atrybutów użytkownika, takich jak 'mapwidthunit'. Atakujący z uprawnieniami co najmniej współpracownika mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzin zainfekowanej strony.
Wpływ biznesowy
Podatność umożliwia atakującym z uprawnieniami współpracownika lub wyższymi wstrzyknięcie złośliwego kodu JavaScript, co może prowadzić do przejęcia sesji użytkowników, kradzieży danych lub innych działań szkodliwych dla witryny i jej użytkowników. Właściciele stron korzystających z tej wtyczki powinni rozważyć ryzyko związane z dostępem użytkowników oraz potencjalne skutki dla reputacji i bezpieczeństwa danych.
Rekomendowane działania administratora
Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Leaflet Maps Marker i ich wdrożenie. W przypadku braku łatki, ograniczenie uprawnień użytkowników do niezbędnego minimum oraz monitorowanie logów pod kątem podejrzanej aktywności. Dodatkowo warto przeprowadzić przegląd konfiguracji i zabezpieczeń serwisu, aby zminimalizować ryzyko wykorzystania tej luki.