Luka w WordPress Booking Calendar Contact Form 1.0.23 umożliwiająca eskalację uprawnień i XSS

Co wiadomo

Wtyczka WordPress Booking Calendar Contact Form 1.0.23 zawiera luki pozwalające uwierzytelnionym użytkownikom na eskalację uprawnień oraz wstrzykiwanie złośliwych skryptów (XSS). Atakujący z kontem subskrybenta mogą modyfikować opcje wtyczki i wykonywać nieautoryzowany kod JavaScript w przeglądarkach administratorów.

Wpływ biznesowy

Luka może prowadzić do przejęcia kontroli nad funkcjami wtyczki oraz wykonania złośliwego kodu w kontekście administratora, co zagraża integralności i bezpieczeństwu witryny. Może to skutkować nieautoryzowanymi zmianami konfiguracji oraz potencjalnym dostępem do wrażliwych danych.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki u dostawcy oraz ich wdrożenie. W międzyczasie ogranicz dostęp do panelu administracyjnego tylko do zaufanych użytkowników, monitoruj logi pod kątem podejrzanych działań oraz rozważ zastosowanie dodatkowych mechanizmów filtrowania i walidacji danych wejściowych.

Źródła

• NVD
• Reference
• Reference
• Reference