CVE-2024-9866: Stored Cross-Site Scripting w wtyczce Event Tickets with Ticket Scanner dla WordPress

Co wiadomo

Wtyczka Event Tickets with Ticket Scanner dla WordPress do wersji 2.4.4 jest podatna na atak typu Stored Cross-Site Scripting (XSS) poprzez parametry 'data' z powodu niewystarczającej sanitacji danych i braku odpowiednich uprawnień do zarządzania biletami. Atakujący z poziomem subskrybenta lub wyższym mogą wstrzykiwać złośliwe skrypty, które wykonują się przy odwiedzeniu zainfekowanej strony.

Wpływ biznesowy

Podatność umożliwia uwierzytelnionym użytkownikom o ograniczonych uprawnieniach wstrzyknięcie złośliwego kodu, co może prowadzić do kradzieży sesji, manipulacji treścią strony lub innych działań naruszających bezpieczeństwo użytkowników i integralność serwisu. Może to wpłynąć na reputację firmy oraz bezpieczeństwo danych klientów korzystających z serwisu WordPress.

Rekomendowane działania administratora

Zaleca się niezwłoczne zaktualizowanie wtyczki Event Tickets with Ticket Scanner do wersji 2.4.4 lub nowszej, gdzie problem został załatany. W przypadku braku możliwości aktualizacji, ogranicz dostęp do funkcji zarządzania biletami tylko do zaufanych użytkowników oraz monitoruj logi pod kątem podejrzanej aktywności. Regularnie przeglądaj i stosuj poprawki bezpieczeństwa dostarczane przez producenta.

Źródła

• NVD
• Reference
• Reference
• Reference