CVE-2024-2842: podatność Stored XSS w wtyczce Easy Appointments dla WordPress

Co wiadomo

Wtyczka Easy Appointments dla WordPress do wersji 3.11.18 włącznie zawiera podatność Stored Cross-Site Scripting (XSS) w shortcode 'ea_full_calendar' z powodu niewystarczającej sanitacji i escapingu danych wejściowych. Umożliwia to atakującym z uprawnieniami co najmniej współtwórcy wstrzyknięcie złośliwych skryptów, które wykonują się przy odwiedzeniu zainfekowanej strony.

Wpływ biznesowy

Podatność ta może prowadzić do wykonania złośliwego kodu w kontekście przeglądarki użytkownika, co zagraża bezpieczeństwu danych i integralności serwisu. Atakujący mogą przejąć sesje użytkowników lub wprowadzić nieautoryzowane zmiany. Operatorzy stron korzystających z Easy Appointments powinni traktować tę lukę jako istotne ryzyko dla bezpieczeństwa CMS i danych klientów.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Easy Appointments i ich wdrożenie. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do minimum oraz monitorować logi pod kątem podejrzanej aktywności. Warto także przeprowadzić przegląd i oczyszczenie istniejących treści pod kątem potencjalnych wstrzyknięć skryptów.

Źródła

• NVD
• Reference
• Reference