Вразливість Stored XSS у плагіні OpenStreetMap для WordPress (CVE-2024-11827)

Що відомо

Плагін Out of the Block: OpenStreetMap для WordPress містить вразливість типу Stored Cross-Site Scripting через shortcode ootb_query у версіях до 2.8.3 включно. Недостатня санітизація та екранування введених користувачем атрибутів дозволяє автентифікованим користувачам з рівнем доступу не нижче контриб’ютора впроваджувати шкідливі скрипти, які виконуються при перегляді сторінок.

Бізнес-вплив

Ця вразливість може призвести до виконання довільних скриптів у браузерах користувачів сайту, що ставить під загрозу безпеку даних та довіру до ресурсу. Для операторів ІТ та власників інфраструктури це означає потенційні ризики компрометації сесій, викрадення облікових даних або поширення шкідливого коду серед відвідувачів.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна від розробника та застосувати їх у разі доступності. Якщо оновлення відсутні, слід обмежити права користувачів до мінімально необхідних, ретельно перевіряти введені дані та вести моніторинг логів на ознаки експлуатації. Також варто розглянути тимчасове відключення плагіна, якщо ризики перевищують користь.

Джерела

• NVD
• Reference
• Reference
• Reference
• Reference