CVE-2024-9865: podatność Stored XSS w wtyczce EventPrime dla WordPress

Co wiadomo

Wtyczka EventPrime – Events Calendar, Bookings and Tickets dla WordPress do wersji 4.0.4.7 zawiera podatność typu Stored Cross-Site Scripting (XSS) w polach 'ep_booking_attendee_fields'. Pozwala to nieautoryzowanym atakującym na wstrzyknięcie złośliwych skryptów, które wykonują się podczas przeglądania logów transakcji rezerwacji.

Wpływ biznesowy

Podatność ta może prowadzić do przejęcia sesji użytkowników, kradzieży danych lub innych działań szkodliwych poprzez wykonanie złośliwego kodu w kontekście przeglądarki ofiary. Operatorzy stron korzystających z tej wtyczki powinni traktować tę lukę jako istotne zagrożenie dla bezpieczeństwa danych i integralności systemu.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki EventPrime u dostawcy oraz jej instalację. W przypadku braku łatki należy ograniczyć dostęp do logów transakcji oraz monitorować system pod kątem podejrzanej aktywności. Warto również przeprowadzić przegląd i oczyszczenie danych w polach 'ep_booking_attendee_fields' oraz stosować zasady minimalizacji uprawnień.

Źródła

• NVD
• Reference
• Reference
• Reference