Analityczne wykorzystywanie plików cookies
CVE-2024-8274: podatność Reflected Cross-Site Scripting w wtyczce WP Booking Calendar
Podatność Reflected XSS w WP Booking Calendar do wersji 10.5 umożliwia ataki przez niewystarczającą sanitację parametrów 'timeline_obj'.
- CVSS
- 6.1 MEDIUM
- EPSS
- 37.96%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- wp booking calendar
Co wiadomo
Wtyczka WP Booking Calendar dla WordPressa do wersji 10.5 włącznie zawiera lukę umożliwiającą ataki Reflected Cross-Site Scripting (XSS) poprzez parametry 'timeline_obj'. Luka wynika z niewystarczającej sanitacji danych wejściowych i braku odpowiedniego escapingu wyjścia, co pozwala nieautoryzowanym atakującym na wstrzyknięcie złośliwych skryptów.
Wpływ biznesowy
Atakujący mogą wykorzystać tę lukę do wykonania złośliwych skryptów w przeglądarce użytkownika, co może prowadzić do kradzieży danych sesji, przekierowań lub innych działań szkodliwych dla użytkowników i reputacji firmy. Zagrożenie dotyczy stron korzystających z podatnej wersji wtyczki, co może wpłynąć na bezpieczeństwo i zaufanie klientów.
Rekomendowane działania administratora
Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki WP Booking Calendar i jej wdrożenie. W przypadku braku łatki należy ograniczyć ekspozycję podatnych parametrów, monitorować logi pod kątem podejrzanych działań oraz edukować użytkowników o ryzyku kliknięcia w nieznane linki. Priorytetowo traktuj aktualizacje i audyt bezpieczeństwa środowiska WordPress.