CVE-2024-7877: luka XSS w wtyczce Simply Schedule Appointments dla WordPress

Co wiadomo

Wtyczka Appointment Booking Calendar – Simply Schedule Appointments dla WordPress w wersjach przed 1.6.7.55 nie sanitizuje i nie ucieka poprawnie niektórych ustawień powiadomień. Może to pozwolić użytkownikom z wysokimi uprawnieniami, np. administratorom, na przeprowadzenie ataków Cross-Site Scripting, nawet gdy opcja unfiltered_html jest wyłączona.

Wpływ biznesowy

Luka umożliwia ataki XSS przez użytkowników z uprawnieniami administratora, co może prowadzić do wykonania złośliwego kodu w kontekście przeglądarki innych użytkowników lub administratorów. Może to skutkować przejęciem sesji, manipulacją danymi lub innymi działaniami naruszającymi bezpieczeństwo witryny. Właściciele stron opartych na WordPress z tą wtyczką powinni rozważyć ryzyko związane z tą podatnością.

Rekomendowane działania administratora

Zaleca się jak najszybsze zaktualizowanie wtyczki Simply Schedule Appointments do wersji 1.6.7.55 lub nowszej udostępnionej przez producenta. W międzyczasie warto ograniczyć dostęp do panelu administracyjnego tylko do zaufanych użytkowników, przeglądać logi pod kątem podejrzanej aktywności oraz stosować ogólne zasady minimalizacji ekspozycji i monitorowania bezpieczeństwa.

Źródła

• NVD
• Reference