CVE-2024-12118: podatność Stored Cross-Site Scripting w wtyczce The Events Calendar dla WordPress

Co wiadomo

Wtyczka The Events Calendar dla WordPress do wersji 6.9.0 włącznie zawiera podatność Stored Cross-Site Scripting (XSS) w widżecie Event Calendar Link, wynikającą z niewystarczającej sanitacji i ucieczki danych w atrybucie html_tag. Umożliwia to atakującym z uprawnieniami co najmniej na poziomie Współtwórcy wstrzyknięcie złośliwych skryptów, które wykonują się podczas odwiedzin zainfekowanej strony.

Wpływ biznesowy

Podatność ta może prowadzić do wykonywania złośliwego kodu w kontekście przeglądarki użytkownika, co zagraża bezpieczeństwu danych i integralności witryny. Atakujący z uprawnieniami współtwórcy lub wyższymi mogą wykorzystać lukę do eskalacji ataku, wpływając na doświadczenie użytkowników i reputację firmy. Wdrożenie odpowiednich środków zabezpieczających jest kluczowe dla ochrony środowiska WordPress.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki The Events Calendar i ich wdrożenie. W przypadku braku natychmiastowej aktualizacji, ogranicz uprawnienia użytkowników do minimum niezbędnego oraz monitoruj logi pod kątem podejrzanych działań. Dodatkowo, rozważ zastosowanie mechanizmów filtrowania i sanitacji danych wejściowych oraz przegląd konfiguracji zabezpieczeń aplikacji.

Źródła

• NVD
• Reference
• Reference
• Reference