CVE-2024-0976: podatność Reflected XSS w wtyczce WP Event Manager

Co wiadomo

Wtyczka WP Event Manager dla WordPressa do zarządzania kalendarzem wydarzeń i sprzedażą biletów jest podatna na atak typu Reflected Cross-Site Scripting (XSS) poprzez parametr plugin. Luka występuje we wszystkich wersjach do 3.1.41 włącznie, wynikając z niewystarczającej sanitacji danych wejściowych i ucieczki znaków wyjściowych.

Wpływ biznesowy

Atakujący bez uwierzytelnienia mogą wstrzykiwać złośliwe skrypty, które wykonują się po nakłonieniu użytkownika do kliknięcia w spreparowany link. Może to prowadzić do kradzieży sesji, przejęcia konta lub innych działań szkodliwych dla użytkowników i reputacji firmy. Właściciele stron korzystających z tej wtyczki powinni traktować tę lukę jako istotne zagrożenie dla bezpieczeństwa aplikacji webowej.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki WP Event Manager i jej instalację. W przypadku braku łatki należy ograniczyć ekspozycję podatnych parametrów, monitorować logi pod kątem podejrzanej aktywności oraz edukować użytkowników w zakresie unikania klikania w nieznane linki. Priorytetem jest szybka weryfikacja i wdrożenie dostępnych poprawek od dostawcy.

Źródła

• NVD
• Reference
• Reference
• Reference