CVE-2024-5859: podatność XSS w wtyczce Online Booking & Scheduling Calendar dla WordPress

Co wiadomo

Wtyczka Online Booking & Scheduling Calendar dla WordPress firmy vcita jest podatna na atak typu Reflected Cross-Site Scripting (XSS) poprzez parametr 'd' we wszystkich wersjach do 4.4.2 włącznie. Luka wynika z niewystarczającej sanitizacji i ucieczki danych wejściowych, co umożliwia nieautoryzowanym atakującym wstrzyknięcie złośliwych skryptów.

Wpływ biznesowy

Podatność ta może pozwolić atakującym na wykonanie złośliwych skryptów w kontekście przeglądarki użytkownika, co może skutkować kradzieżą danych sesji, przekierowaniami lub innymi niepożądanymi działaniami. Wpływa to na bezpieczeństwo użytkowników i może narazić reputację firmy korzystającej z tej wtyczki.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki u dostawcy vcita i ich wdrożenie. W międzyczasie warto ograniczyć ekspozycję wtyczki, monitorować logi pod kątem podejrzanych aktywności oraz edukować użytkowników o ryzyku kliknięcia w nieznane linki. Priorytetem jest szybka reakcja na dostępne poprawki.

Źródła

• NVD
• Reference
• Reference