CVE-2024-9306: luka Stored Cross-Site Scripting w wtyczce WP Booking Calendar

Co wiadomo

Wtyczka WP Booking Calendar dla WordPressa do wersji 10.6 włącznie zawiera lukę Stored Cross-Site Scripting (XSS) w ustawieniach administratora z powodu niewystarczającej sanitacji danych wejściowych i ucieczki znaków wyjściowych. Luka dotyczy instalacji multisite oraz tych, gdzie wyłączono unfiltered_html, umożliwiając administratorom wstrzyknięcie złośliwych skryptów.

Wpływ biznesowy

Atakujący z uprawnieniami administratora lub wyższymi mogą wstrzykiwać złośliwe skrypty, które wykonują się przy odwiedzeniu zainfekowanej strony, co może prowadzić do kradzieży danych sesji lub innych działań na koncie użytkownika. Dodatkowo, jeśli administratorzy przyznają dostęp do zarządzania ustawieniami wtyczki użytkownikom o niższych uprawnieniach, luka może zostać rozszerzona na tych użytkowników, zwiększając ryzyko naruszenia bezpieczeństwa.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki WP Booking Calendar i ich wdrożenie. W przypadku braku łatki należy ograniczyć dostęp do ustawień wtyczki tylko do zaufanych administratorów oraz monitorować logi pod kątem podejrzanych działań. Warto również rozważyć ograniczenie instalacji multisite lub włączenie opcji unfiltered_html, jeśli to możliwe, aby zmniejszyć powierzchnię ataku.

Źródła

• NVD
• Reference
• Reference