CVE-2024-2111: podatność Stored XSS w wtyczce Events Manager dla WordPress

Co wiadomo

Wtyczka Events Manager dla WordPress do wersji 6.4.7.1 jest podatna na atak Stored Cross-Site Scripting poprzez pole lokalizacji fizycznej. Atakujący z uprawnieniami co najmniej współtwórcy mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzin zainfekowanej strony.

Wpływ biznesowy

Podatność umożliwia atakującym z uprawnieniami współtwórcy lub wyższymi wstrzyknięcie złośliwego kodu, co może prowadzić do przejęcia sesji użytkowników lub innych działań na koncie. Może to wpłynąć na bezpieczeństwo witryny i zaufanie użytkowników, zwłaszcza w środowiskach z wieloma redaktorami.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Events Manager i ich wdrożenie. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do niezbędnego minimum, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć dodatkowe mechanizmy filtrowania i sanitizacji danych wejściowych.

Źródła

• NVD
• Reference
• Reference