CVE-2024-3672: podatność Stored Cross-Site Scripting w wtyczce BA Book Everything dla WordPress

Co wiadomo

Wtyczka BA Book Everything dla WordPress do wersji 1.6.8 włącznie jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez shortcode 'all-items' z powodu niewystarczającej sanitacji i escapingu danych wejściowych. Umożliwia to atakującym z uprawnieniami co najmniej współtwórcy wstrzyknięcie złośliwych skryptów, które wykonują się podczas odwiedzin zainfekowanej strony.

Wpływ biznesowy

Podatność ta może prowadzić do wykonania złośliwego kodu w przeglądarce użytkowników odwiedzających zainfekowane strony, co zagraża bezpieczeństwu danych i integralności witryny. Operatorzy stron opartych na WordPress z zainstalowaną wtyczką BA Book Everything powinni traktować tę lukę poważnie, zwłaszcza jeśli umożliwiają dostęp użytkownikom z uprawnieniami współtwórcy lub wyższymi.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki u jej dostawcy oraz wdrożenie najnowszej wersji zawierającej poprawkę. W międzyczasie warto ograniczyć uprawnienia użytkowników do niezbędnego minimum, monitorować logi pod kątem podejrzanych działań oraz przeprowadzić audyt bezpieczeństwa stron korzystających z tego shortcode'u.

Źródła

• NVD
• Reference
• Reference