CVE-2024-9872: podatność w wtyczce Online Booking & Scheduling Calendar dla WordPress

Co wiadomo

Wtyczka Online Booking & Scheduling Calendar dla WordPress firmy vcita posiada lukę pozwalającą na nieautoryzowaną modyfikację danych przez brak odpowiedniej weryfikacji uprawnień w funkcji vcita_save_user_data_callback(). Atakujący z poziomem dostępu Subskrybenta lub wyższym mogą wstrzykiwać złośliwe skrypty i zmieniać ustawienia.

Wpływ biznesowy

Luka umożliwia osobom z ograniczonym dostępem do panelu WordPressa modyfikację danych i konfiguracji wtyczki, co może prowadzić do kompromitacji witryny lub utraty integralności danych. Organizacje korzystające z tej wtyczki powinny traktować tę podatność jako istotne zagrożenie dla bezpieczeństwa aplikacji webowej i użytkowników.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki od producenta vcita i ich wdrożenie. W międzyczasie warto ograniczyć dostęp użytkowników do poziomu Subskrybenta oraz monitorować logi pod kątem podejrzanych działań. Przegląd konfiguracji uprawnień i audyt bezpieczeństwa aplikacji są wskazane.

Źródła

• NVD
• Reference
• Reference