CVE-2024-13616: podatność XSS w wtyczce VikBooking Hotel Booking Engine & PMS

Co wiadomo

Wtyczka VikBooking Hotel Booking Engine & PMS dla WordPressa w wersjach przed 1.7.2 nie sanitizuje i nie zabezpiecza niektórych ustawień, co umożliwia użytkownikom z wysokimi uprawnieniami, np. administratorom, przeprowadzenie ataków typu Stored Cross-Site Scripting, nawet gdy opcja unfiltered_html jest wyłączona, np. w konfiguracji multisite.

Wpływ biznesowy

Podatność może prowadzić do wykonania złośliwego kodu JavaScript w kontekście przeglądarki administratora, co zagraża bezpieczeństwu danych i integralności systemu. Atakujący z uprawnieniami administratora mogą wykorzystać tę lukę do eskalacji ataków lub przejęcia kontroli nad witryną. W środowiskach multisite ryzyko jest szczególnie istotne, gdyż zabezpieczenia unfiltered_html mogą nie wystarczyć.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki VikBooking i jej instalację do wersji 1.7.2 lub nowszej. W międzyczasie warto ograniczyć liczbę użytkowników z uprawnieniami administratora oraz monitorować logi pod kątem podejrzanej aktywności. Dodatkowo należy przeprowadzić przegląd konfiguracji multisite i rozważyć wdrożenie dodatkowych mechanizmów filtrowania treści.

Źródła

• NVD
• Reference