Luka XSS w wtyczce Booking Package dla WordPress (CVE-2024-13508)

Co wiadomo

Wtyczka Booking Package dla WordPress do wersji 1.6.72 jest podatna na atak Reflected Cross-Site Scripting (XSS) poprzez parametr locale, wynikający z niewystarczającej sanitacji i ucieczki danych wejściowych. Atakujący może w ten sposób wstrzyknąć złośliwy skrypt, który wykona się po nakłonieniu użytkownika do kliknięcia w spreparowany link.

Wpływ biznesowy

Podatność ta może prowadzić do kradzieży sesji, przejęcia konta użytkownika lub innych działań nieautoryzowanych, co zagraża bezpieczeństwu witryny i jej użytkowników. Operatorzy stron wykorzystujących tę wtyczkę powinni rozważyć ryzyko związane z potencjalnym wykorzystaniem tej luki, zwłaszcza w środowiskach o dużym natężeniu ruchu i wrażliwych danych.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Booking Package i jej instalację. W przypadku braku łatki należy ograniczyć ekspozycję parametru locale, monitorować logi pod kątem podejrzanych żądań oraz edukować użytkowników w zakresie unikania klikania w podejrzane linki. Priorytetem jest szybka reakcja i wdrożenie środków zapobiegawczych.

Źródła

• NVD
• Reference
• Reference