CVE-2024-13702: podatność Stored XSS w wtyczce CRM and Lead Management by vcita dla WordPress

Co wiadomo

Wtyczka CRM and Lead Management by vcita do WordPressa jest podatna na atak typu Stored Cross-Site Scripting (XSS) poprzez shortcode'y 'vCitaMeetingScheduler' i 'vCitaSchedulingCalendar' we wszystkich wersjach do 2.7.4 włącznie. Problem wynika z niewystarczającej sanitacji i eskapowania danych wejściowych przekazywanych przez użytkowników.

Wpływ biznesowy

Atakujący z uprawnieniami co najmniej na poziomie współtwórcy mogą wstrzykiwać złośliwe skrypty, które będą wykonywane przy każdym dostępie do zainfekowanej strony. Może to prowadzić do kradzieży sesji, przejęcia kont użytkowników lub innych działań szkodliwych dla bezpieczeństwa i integralności witryny. Zagrożenie dotyczy głównie administratorów i operatorów stron opartych na WordPress z zainstalowaną podatną wersją wtyczki.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki CRM and Lead Management by vcita i jej instalację, jeśli jest dostępna. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do minimum, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie shortcode'ów 'vCitaMeetingScheduler' i 'vCitaSchedulingCalendar'.

Źródła

• NVD
• Reference
• Reference