CVE-2024-10027: luka w wtyczce WP Booking Calendar umożliwiająca ataki XSS

Co wiadomo

Wtyczka WP Booking Calendar w wersjach przed 10.6.3 nie sanitizuje i nie zabezpiecza poprawnie niektórych ustawień widgetów, co pozwala użytkownikom o wysokich uprawnieniach, takim jak administratorzy, na przeprowadzenie ataków typu Stored Cross-Site Scripting, nawet gdy zdolność unfiltered_html jest wyłączona, np. w środowiskach multisite.

Wpływ biznesowy

Atakujący z uprawnieniami administratora mogą wykorzystać tę lukę do wstrzyknięcia złośliwego kodu JavaScript, co może prowadzić do przejęcia sesji, manipulacji treścią strony lub innych działań szkodliwych dla użytkowników i integralności serwisu. Organizacje korzystające z tej wtyczki powinny zwrócić uwagę na potencjalne ryzyko związane z bezpieczeństwem aplikacji i ochroną danych.

Rekomendowane działania administratora

Zaleca się niezwłoczne zaktualizowanie wtyczki WP Booking Calendar do wersji 10.6.3 lub nowszej udostępnionej przez producenta. W przypadku braku możliwości aktualizacji należy ograniczyć uprawnienia użytkowników oraz monitorować logi pod kątem podejrzanych działań. Dodatkowo warto przejrzeć konfigurację środowiska multisite i rozważyć zastosowanie dodatkowych mechanizmów zabezpieczających przed XSS.

Źródła

• NVD
• Reference