Analityczne wykorzystywanie plików cookies
CVE-2024-13802: podatność Stored Cross-Site Scripting w wtyczce Bandsintown Events dla WordPress
Podatność Stored XSS w wtyczce Bandsintown Events dla WordPress do wersji 1.3.1 umożliwia ataki przez wstrzyknięcie skryptów przez użytkowników z uprawnieniami współtwórcy.
- CVSS
- 6.4 MEDIUM
- EPSS
- 20.6%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- events
Co wiadomo
Wtyczka Bandsintown Events dla WordPress do wersji 1.3.1 włącznie jest podatna na Stored Cross-Site Scripting (XSS) poprzez shortcode 'bandsintown_events'. Problem wynika z niewystarczającej sanitacji i escapingu danych wejściowych użytkownika, co pozwala atakującym z uprawnieniami co najmniej współtwórcy na wstrzyknięcie złośliwych skryptów.
Wpływ biznesowy
Podatność umożliwia uwierzytelnionym użytkownikom z uprawnieniami współtwórcy lub wyższymi wstrzyknięcie i wykonanie złośliwych skryptów w kontekście przeglądarki innych użytkowników odwiedzających zainfekowane strony. Może to prowadzić do kradzieży sesji, manipulacji zawartością strony lub innych ataków na użytkowników i infrastrukturę IT.
Rekomendowane działania administratora
Administratorzy powinni zweryfikować wersję wtyczki Bandsintown Events i w przypadku używania wersji do 1.3.1 podjąć działania takie jak aktualizacja do najnowszej wersji, jeśli dostępna, ograniczenie uprawnień użytkowników do niezbędnego minimum, przegląd logów pod kątem podejrzanej aktywności oraz monitorowanie i ograniczanie ekspozycji podatnych elementów strony.