CVE-2024-3732: podatność Stored XSS w wtyczce GeoDirectory dla WordPress

Co wiadomo

Wtyczka GeoDirectory dla WordPress (do wersji 2.3.48 włącznie) jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez shortcode 'gd_single_tabs' z powodu niewystarczającej sanitacji i ucieczki danych wejściowych. Atakujący z uprawnieniami co najmniej współtwórcy mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzin zmodyfikowanej strony.

Wpływ biznesowy

Podatność umożliwia atakującym z dostępem na poziomie współtwórcy wstrzyknięcie złośliwego kodu JavaScript, co może prowadzić do przejęcia sesji użytkowników, manipulacji zawartością strony lub innych działań szkodliwych dla użytkowników i reputacji firmy. Operatorzy stron opartych na WordPress z zainstalowaną wtyczką GeoDirectory powinni traktować tę lukę jako istotne zagrożenie dla bezpieczeństwa i integralności witryny.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki GeoDirectory u dostawcy oraz jej instalację, jeśli jest dostępna. W przypadku braku łatki należy ograniczyć dostęp użytkowników do poziomu niższego niż współtwórca, monitorować logi pod kątem podejrzanych działań oraz rozważyć tymczasowe wyłączenie funkcji korzystających z shortcode 'gd_single_tabs'.

Źródła

• NVD
• Reference
• Reference