Luka XSS w wtyczce Pinpoint Booking System dla WordPress

Co wiadomo

Wtyczka Pinpoint Booking System dla WordPress w wersjach przed 2.9.9.4.8 nie sanitizuje i nie ucieka poprawnie niektórych ustawień, co pozwala użytkownikom z wysokimi uprawnieniami, np. administratorom, na przeprowadzenie ataków Stored Cross-Site Scripting nawet gdy zdolność unfiltered_html jest wyłączona.

Wpływ biznesowy

Atak Stored XSS może prowadzić do wykonania złośliwego kodu w kontekście przeglądarki administratora, co zagraża bezpieczeństwu witryny i danych. W środowiskach multisite, gdzie unfiltered_html jest zwykle wyłączone, luka nadal umożliwia eskalację ataku. Operatorzy powinni traktować tę lukę jako średniego ryzyka, zwłaszcza w przypadku witryn z wieloma administratorami.

Rekomendowane działania administratora

Zaleca się jak najszybsze zaktualizowanie wtyczki Pinpoint Booking System do wersji 2.9.9.4.8 lub nowszej. W przypadku braku dostępnej aktualizacji, ogranicz dostęp administratorów i monitoruj logi pod kątem podejrzanych działań. Przeglądaj konfigurację uprawnień i rozważ wdrożenie dodatkowych mechanizmów ochrony przed XSS.

Źródła

• NVD
• Reference