Wrażliwość Stored Cross-Site Scripting w wtyczce Map Block Leaflet dla WordPress

Co wiadomo

Wtyczka Map Block Leaflet dla WordPress do wersji 3.2.1 włącznie jest podatna na atak Stored Cross-Site Scripting poprzez parametr 'url' z powodu niewystarczającej sanitacji danych wejściowych i ucieczki znaków. Atakujący z uprawnieniami co najmniej na poziomie Współtwórcy mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzin zainfekowanej strony.

Wpływ biznesowy

Podatność pozwala na wstrzyknięcie i wykonanie złośliwych skryptów w kontekście przeglądarki użytkownika, co może prowadzić do kradzieży danych sesji, przejęcia konta lub innych działań szkodliwych dla użytkowników i właścicieli stron. Operatorzy IT powinni traktować tę lukę poważnie, zwłaszcza w środowiskach z wieloma użytkownikami posiadającymi uprawnienia edycyjne.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Map Block Leaflet i jej instalację. W przypadku braku łatki, ograniczenie uprawnień użytkowników do minimum, przegląd logów pod kątem podejrzanej aktywności oraz monitorowanie stron pod kątem nieautoryzowanych zmian. Warto również rozważyć zastosowanie dodatkowych mechanizmów zabezpieczających przed XSS.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference