WP Maps – Store Locator podatny na przechowywany XSS przez shortcode 'put_wpg'

Co wiadomo

Wtyczka WP Maps – Store Locator dla WordPress do wersji 4.8.7 zawiera lukę przechowywanego Cross-Site Scripting (XSS) w shortcode 'put_wpg'. Luka wynika z niewystarczającej sanitacji i eskapowania danych wejściowych, co pozwala użytkownikom z uprawnieniami co najmniej współtwórcy na wstrzyknięcie złośliwych skryptów.

Wpływ biznesowy

Atakujący z uprawnieniami współtwórcy lub wyższymi mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzin zainfekowanych stron. Może to prowadzić do kradzieży sesji, manipulacji zawartością strony lub innych działań szkodliwych dla użytkowników i reputacji firmy. Zagrożenie jest szczególnie istotne dla serwisów z wieloma redaktorami i współtwórcami.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki u jej dostawcy i wdrożenie poprawek. W międzyczasie warto ograniczyć uprawnienia użytkowników do niezbędnego minimum, monitorować logi pod kątem podejrzanych działań oraz rozważyć zastosowanie dodatkowych mechanizmów zabezpieczających, takich jak Web Application Firewall (WAF).

Źródła

• NVD
• Reference
• Reference