یک آسیب‌پذیری با شناسه CVE-2024-3732 و شدت 6.4 در افزونه Geo Directory- Busines کشف شده است، این افزونه از طریق کد کوتاه « gd_single_tabs» و اسکریپت‌های بین‌سایتی ذخیره‌شده، آسیب‌پذیر می‌باشد و به دلیل پاکسازی ناکافی ورودی و خروجی‌ها، این امکان را برای مهاجم احراز هویت شده فراهم می‌کند تا اسکریپت‌های وب مخرب را در صفحات دلخواه خود تزریق کند تا هر زمان که کاربر به صفحه موردنظر وارد شد، اسکریپت مذکور اجرا شود. براساس بردار حمله این آسیب‌پذیری CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:N بهره‌برداری از آن هم از طریق شبکه خارجی و از راه دور امکان‌پذیر است (AV:N) و نیازمند هیچ پیش‌زمینه‌ای نبوده و به‌راحتی قابل تکرار است و چندان به شرایط خاصی نیاز نیست (AC:L)، مهاجم برای انجام حمله نیاز به حساب کاربری با سطح دسترسی پایین می‌باشد (PR:L) و به تعامل با کاربر نیاز ندارد (UI:N)، بهره‌برداری از آسیب‌پذیری مذکور بر سایر منابع امنیتی تأثیر می‌گذارد (S:C) و یک ضلع از سه ضلع امنیت با شدت کمی تحت تأثیر قرار می‌گیرند(C:L/I:L/A:N).
افزونه rtMedia یک افزونه مدیریت رسانه است که به کاربران این امکان را می‌دهد که تصاویر، فیلم‌ها و آلبوم‌های موسیقی را اضافه کنند. به تازگی یک آسیب‌پذیری با شدت بالا (8.8) با شناسه CVE-2024-3293 در این افزونه شناسایی شده است که از طریق شورتکات ‘rtmedia_gallery’ نسبت به حملات SQL Injection blind آسیب‌پذیر می‌باشد. این آسیب‌پذیری ناشی از عدم escaping کافی در پارامتر ارائه شده توسط کاربر و عدم آماده‌سازی درکوئری SQL موجود است و این امکان را برای مهاجمین احراز هویت شده با دسترسی سطح مشارکت‌کننده و بالاتر فراهم می‌کند تا کوئری SQL خود را به کوئری‌های موجود در پایگاه‌داده کنونی اضافه کرده و از آن‌ها برای استخراج اطلاعات حساس از پایگاه‌داده بهره‌برداری کنند.
بر اساس بردار حمله این آسیب‌پذیری (AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H) بهره‌برداری از طریق شبکه خارجی و از راه دور امکان‌پذیر است (AV:N) ، نیازمند هیچ پیش‌زمینه‌ای نبوده و به‌راحتی قابل تکرار است و چندان به شرایط خاصی نیاز نیست (AC:L) مهاجم برای انجام حمله نیاز به حساب کاربری با سطح دسترسی پایین می‌باشد (PR:N) ، به تعامل با کاربر نیز نیاز ندارد (UI:N) ، بهره‌برداری از نقص امنیتی مذکور بر سایر منابع امنیتی تأثیر نمی‌گذارد (S:U) و و در بدترین شرایط (قربانی شدن کاربری با سطح دسترسی ادمین)، با سوء‌استفاده از این آسیب‌پذیری، هر سه ضلع امنیت با شدت بالا تحت تأثیر قرار می‌گیرند.
محصولات تحت تأثیر
آسیب‌پذیری CVE-2024-3732 همه نسخه‌های تا 2.3.48 افزونه Geo Directory- Busines را تحت تاثیر قرار می‌دهد.
آسیب‌پذیری CVE-2024-3293 تمام نسخه‌های افزونه rtMedia تا قبل از نسخه 4.6.18 را تحت تاثیر قرار می‌دهد.
توصیه امنیتی
به کاربران توصیه می‌شود که در اسرع وقت افزونه Geo Directory- Busines خود را به نسخه 2.3.49 و بالاتر ارتقاء دهند.
لازم است که تمام کاربران، هرچه سریع‌تر افزونه rtMedia را به نسخه 4.6.19 یا بالاتر ارتقاء دهند.
منابع خبر:
[1] https://nvd.nist.gov/vuln/detail/CVE-2024-3732
[2]https://plugins.trac.wordpress.org/changeset?sfp_email=&sfph_mail=&reponame=&old=3071121
[3]https://www.wordfence.com/threat-intel/vulnerabilities/wordpress-plugins/geodirectory/geodirectory-…-
[3] https://www.wordfence.com/threat-intel/vulnerabilities/wordpress-plugins/buddypress-media/rtmedia-f…
- 41