CVE-2024-9585: podatność Stored Cross-Site Scripting w Image Map Pro dla WordPress

Co wiadomo

Wtyczka Image Map Pro dla WordPress do wersji 6.0.20 włącznie zawiera lukę Stored Cross-Site Scripting w funkcji 'save_project', umożliwiającą wstrzyknięcie złośliwych skryptów przez użytkowników z uprawnieniami co najmniej na poziomie współpracownika. Luka wynika z niewystarczającej sanitacji i ucieczki danych wejściowych.

Wpływ biznesowy

Atakujący z uprawnieniami współpracownika lub wyższymi mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzania zainfekowanych stron, co może prowadzić do kradzieży sesji, manipulacji treścią lub dalszych ataków na użytkowników i infrastrukturę. Organizacje korzystające z tej wtyczki powinny traktować tę lukę jako istotne zagrożenie dla bezpieczeństwa witryny i danych użytkowników.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Image Map Pro u dostawcy i ich wdrożenie. W międzyczasie ograniczyć uprawnienia użytkowników do niezbędnego minimum, monitorować logi pod kątem podejrzanych działań oraz rozważyć zastosowanie dodatkowych mechanizmów ochrony przed XSS, takich jak Web Application Firewall. Priorytetowo traktować audyt i zabezpieczenie środowiska WordPress.

Źródła

• NVD
• Reference
• Reference