CVE-2024-1320: podatność Stored XSS w wtyczce EventPrime dla WordPress

Co wiadomo

Wtyczka EventPrime – Events Calendar, Bookings and Tickets dla WordPress do wersji 3.4.3 jest podatna na atak Stored Cross-Site Scripting (XSS) przez parametr 'offline_status' z powodu niewystarczającej sanitacji danych wejściowych i braków w escapingu wyjścia. Atakujący bez uwierzytelnienia mogą wstrzykiwać złośliwe skrypty, które wykonują się przy odwiedzeniu zainfekowanej strony.

Wpływ biznesowy

Podatność umożliwia atakującym wstrzyknięcie złośliwego kodu JavaScript, co może prowadzić do przejęcia sesji użytkowników, kradzieży danych lub innych działań szkodliwych dla użytkowników i właścicieli stron. Operatorzy stron opartych na WordPress z tą wtyczką powinni traktować tę lukę poważnie, gdyż może ona narazić ich na utratę zaufania klientów i problemy z bezpieczeństwem danych.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki EventPrime u dostawcy oraz jej instalację. W międzyczasie warto ograniczyć ekspozycję podatnego parametru, monitorować logi pod kątem podejrzanych aktywności oraz przeprowadzić audyt bezpieczeństwa. Priorytetowo traktuj aktualizacje i weryfikuj poprawność danych wejściowych w aplikacji.

Źródła

• NVD
• Reference
• Reference