CVE-2024-9864: podatność Stored XSS w wtyczce EventPrime dla WordPress

Co wiadomo

Wtyczka EventPrime – Events Calendar, Bookings and Tickets dla WordPress do wersji 4.0.4.7 jest podatna na atak typu Stored Cross-Site Scripting (XSS) poprzez nazwy biletów. Luka wynika z niewystarczającej sanitacji danych wejściowych i braku odpowiedniego escapingu wyjścia, co pozwala nieautoryzowanym atakującym na wstrzyknięcie złośliwych skryptów.

Wpływ biznesowy

Podatność może umożliwić atakującym wykonanie złośliwego kodu w przeglądarce użytkowników odwiedzających strony z wstrzykniętymi danymi, co może prowadzić do kradzieży sesji, defraudacji danych lub innych działań szkodliwych dla użytkowników i reputacji firmy. Luka jest wykorzystywalna tylko jeśli użytkownicy front-endu mogą dodawać nowe wydarzenia z biletami, co zwiększa ryzyko w środowiskach z taką funkcjonalnością.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki EventPrime u dostawcy i ich wdrożenie. W międzyczasie ogranicz możliwość dodawania wydarzeń i biletów do zaufanych użytkowników, monitoruj logi pod kątem podejrzanych aktywności oraz rozważ zastosowanie dodatkowych mechanizmów filtrowania i walidacji danych wejściowych na poziomie aplikacji.

Źródła

• NVD
• Reference
• Reference