CVE-2024-9882: Luka wtyczki Salon Booking System umożliwiająca ataki XSS

Co wiadomo

Wtyczka Salon Booking System dla WordPressa w wersjach przed 1.9.4 nieprawidłowo oczyszcza i nie zabezpiecza niektórych ustawień, co pozwala użytkownikom z wysokimi uprawnieniami, np. administratorom, na przeprowadzenie ataków typu Stored Cross-Site Scripting, nawet gdy zdolność unfiltered_html jest wyłączona, np. w konfiguracji multisite.

Wpływ biznesowy

Luka ta może prowadzić do wykonania złośliwego kodu w kontekście przeglądarki administratora, co zagraża bezpieczeństwu danych i integralności systemu. W środowiskach multisite ryzyko jest szczególnie istotne, ponieważ atak może rozprzestrzenić się na wiele witryn. Operatorzy IT powinni zwrócić uwagę na potencjalne nadużycia i możliwe naruszenia bezpieczeństwa wynikające z tej podatności.

Rekomendowane działania administratora

Zaleca się jak najszybszą aktualizację wtyczki Salon Booking System do wersji 1.9.4 lub nowszej, w której luka została załatana. W przypadku braku możliwości natychmiastowej aktualizacji, warto ograniczyć uprawnienia użytkowników oraz monitorować logi pod kątem podejrzanych działań. Dodatkowo należy przeprowadzić przegląd konfiguracji multisite i rozważyć wprowadzenie dodatkowych zabezpieczeń przed XSS.

Źródła

• NVD
• Reference