Wrażliwość Stored XSS w wtyczce Extensions for Leaflet Map dla WordPress

Co wiadomo

Wtyczka Extensions for Leaflet Map dla WordPress do wersji 4.7 włącznie jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez shortcode `geojsonmarker`. Luka wynika z niewystarczającej sanitacji i escapingu danych wejściowych, co pozwala użytkownikom z uprawnieniami Contributor i wyższymi na wstrzyknięcie złośliwych skryptów.

Wpływ biznesowy

Atakujący z uprawnieniami Contributor lub wyższymi mogą wstrzyknąć złośliwe skrypty, które wykonają się podczas odwiedzin zainfekowanej strony przez innych użytkowników. Może to prowadzić do kradzieży danych sesji, przejęcia konta lub innych działań szkodliwych dla integralności i bezpieczeństwa witryny oraz jej użytkowników.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki u jej dostawcy i wdrożenie poprawek. W międzyczasie ogranicz dostęp do funkcji shortcode `geojsonmarker` tylko do zaufanych użytkowników oraz monitoruj logi pod kątem podejrzanej aktywności. Warto także przeprowadzić przegląd i weryfikację wprowadzanych danych oraz rozważyć zastosowanie dodatkowych mechanizmów zabezpieczających przed XSS.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference