CVE-2024-10703: podatność XSS w wtyczce Registrations for the Events Calendar dla WordPress

Co wiadomo

Wtyczka Registrations for the Events Calendar dla WordPress w wersjach przed 2.13.4 nieprawidłowo oczyszcza i nie zabezpiecza niektórych ustawień, co umożliwia użytkownikom z wysokimi uprawnieniami, np. administratorom, przeprowadzenie ataków typu Stored Cross-Site Scripting, nawet gdy zdolność unfiltered_html jest wyłączona.

Wpływ biznesowy

Atakujący z uprawnieniami administratora mogą wykorzystać tę lukę do wstrzyknięcia złośliwego kodu JavaScript, co może prowadzić do przejęcia sesji, manipulacji danymi lub dalszych ataków na użytkowników i infrastrukturę. W środowiskach multisite ryzyko jest szczególnie istotne, gdyż luka działa mimo ograniczeń unfiltered_html. Wdrożenie odpowiednich poprawek jest kluczowe dla zabezpieczenia witryny.

Rekomendowane działania administratora

Zaleca się jak najszybszą aktualizację wtyczki Registrations for the Events Calendar do wersji 2.13.4 lub nowszej udostępnionej przez producenta. W przypadku braku możliwości natychmiastowej aktualizacji, warto ograniczyć uprawnienia użytkowników oraz monitorować logi pod kątem podejrzanej aktywności. Regularne przeglądy i audyty bezpieczeństwa oraz stosowanie zasad minimalnych uprawnień zwiększą ochronę przed potencjalnymi atakami.

Źródła

• NVD
• Reference