CVE-2024-13323: podatność Stored XSS w wtyczce WP Booking Calendar

Co wiadomo

Wtyczka WP Booking Calendar dla WordPress do wersji 10.9.2 włącznie zawiera podatność typu Stored Cross-Site Scripting (XSS) w shortcode 'booking' z powodu niewystarczającej sanitacji i escapingu danych wejściowych. Umożliwia to atakującym z uprawnieniami co najmniej współtwórcy wstrzyknięcie złośliwych skryptów, które wykonują się podczas odwiedzenia zainfekowanej strony.

Wpływ biznesowy

Podatność ta może prowadzić do wykonania złośliwego kodu w kontekście przeglądarki użytkownika, co zagraża bezpieczeństwu danych i integralności serwisu. Atakujący mogą wykorzystać ją do kradzieży sesji, manipulacji treścią strony lub dalszych ataków na użytkowników. Operatorzy stron korzystających z tej wtyczki powinni traktować tę lukę jako istotne ryzyko dla bezpieczeństwa CMS.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki WP Booking Calendar i ich wdrożenie. W przypadku braku natychmiastowej możliwości aktualizacji, ogranicz dostęp do funkcji shortcode 'booking' tylko do zaufanych użytkowników oraz monitoruj logi pod kątem podejrzanej aktywności. Przeprowadź przegląd i oczyszczenie istniejących treści pod kątem potencjalnych złośliwych skryptów.

Źródła

• NVD
• Reference
• Reference
• Reference