CVE-2024-9206: podatność Reflected Cross-Site Scripting w wtyczce MAS Companies for WP Job Manager

Co wiadomo

Wtyczka MAS Companies for WP Job Manager dla WordPressa jest podatna na atak Reflected Cross-Site Scripting (XSS) z powodu nieodpowiedniego oczyszczania parametrów URL w funkcji add_query_arg we wszystkich wersjach do 1.0.13 włącznie. Atakujący może wstrzyknąć złośliwy skrypt, który zostanie wykonany po nakłonieniu użytkownika do kliknięcia w spreparowany link.

Wpływ biznesowy

Podatność ta może umożliwić nieautoryzowanym osobom wykonanie złośliwego kodu w przeglądarce użytkownika, co może prowadzić do kradzieży danych sesji, przejęcia konta lub innych działań szkodliwych dla użytkowników i właścicieli serwisów. Operatorzy IT powinni rozważyć ryzyko związane z tą luką, szczególnie jeśli wtyczka jest aktywnie używana na stronach internetowych obsługujących użytkowników zewnętrznych.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki u dostawcy oraz jej wdrożenie. W międzyczasie warto ograniczyć ekspozycję podatnych funkcji, monitorować logi pod kątem podejrzanych aktywności oraz edukować użytkowników w zakresie nieklikania w podejrzane linki. Priorytetem jest szybka weryfikacja i wdrożenie poprawek bezpieczeństwa.

Źródła

• NVD
• Reference
• Reference
• Reference