WP Baidu Map do WordPress narażony na atak Stored Cross-Site Scripting (CVE-2024-9886)

Co wiadomo

Wtyczka WP Baidu Map dla WordPressa do wersji 1.2.2 włącznie posiada lukę umożliwiającą atak Stored Cross-Site Scripting poprzez shortcode 'baidu_map'. Luka wynika z niewystarczającej sanitacji i escapingu danych wejściowych, co pozwala na wstrzyknięcie złośliwych skryptów przez użytkowników z uprawnieniami co najmniej na poziomie współtwórcy.

Wpływ biznesowy

Atakujący z dostępem na poziomie współtwórcy lub wyższym mogą wstrzykiwać złośliwe skrypty, które wykonają się u innych użytkowników odwiedzających zainfekowane strony. Może to prowadzić do kradzieży danych sesji, przejęcia kont użytkowników lub innych działań naruszających bezpieczeństwo witryny i jej użytkowników. Właściciele stron powinni zwrócić uwagę na potencjalne ryzyko związane z tą luką, zwłaszcza w środowiskach z wieloma współpracownikami.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki WP Baidu Map i ich wdrożenie. W przypadku braku natychmiastowej aktualizacji warto ograniczyć dostęp do funkcji shortcode 'baidu_map' tylko do zaufanych użytkowników oraz przeprowadzić przegląd logów pod kątem podejrzanej aktywności. Dodatkowo warto rozważyć zastosowanie mechanizmów filtrowania i escapingu danych wejściowych oraz monitorowanie witryny pod kątem nietypowego zachowania.

Źródła

• NVD
• Reference
• Reference
• Reference