CVE-2024-11855: Wrażliwość Stored XSS w wtyczce Koalendar dla WordPress

Co wiadomo

Wtyczka Koalendar – Events & Appointments Booking Calendar dla WordPress do wersji 1.0.2 włącznie jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez parametr 'height'. Atakujący z uprawnieniami co najmniej na poziomie Współpracownika mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzania zainfekowanych stron.

Wpływ biznesowy

Podatność ta umożliwia atakującym z dostępem do panelu WordPress na wstrzyknięcie i wykonanie złośliwego kodu JavaScript w kontekście przeglądarki użytkownika. Może to prowadzić do kradzieży sesji, manipulacji treścią strony lub dalszych ataków na użytkowników i administratorów. W środowiskach produkcyjnych może to skutkować utratą zaufania klientów oraz naruszeniem bezpieczeństwa danych.

Rekomendowane działania administratora

Administratorzy powinni niezwłocznie zweryfikować wersję wtyczki Koalendar i rozważyć aktualizację do najnowszej dostępnej wersji, jeśli została wydana poprawka. W przypadku braku aktualizacji zaleca się ograniczenie uprawnień użytkowników oraz monitorowanie logów pod kątem podejrzanej aktywności. Dodatkowo warto przeprowadzić audyt bezpieczeństwa i stosować zasady minimalnych uprawnień.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference