CVE-2025-4669: podatność Stored XSS w wtyczce WP Booking Calendar

Co wiadomo

Wtyczka WP Booking Calendar dla WordPressa jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez shortcode wpbc we wszystkich wersjach do 10.11.1 włącznie. Luka wynika z niewystarczającej sanitacji i escapingu danych wejściowych przekazywanych przez użytkowników, co pozwala na wstrzyknięcie złośliwych skryptów przez użytkowników z uprawnieniami co najmniej na poziomie współtwórcy.

Wpływ biznesowy

Atakujący z uprawnieniami współtwórcy lub wyższymi mogą wstrzykiwać złośliwe skrypty, które wykonają się u innych użytkowników odwiedzających zainfekowane strony. Może to prowadzić do kradzieży sesji, manipulacji treścią lub innych działań naruszających bezpieczeństwo witryny i danych użytkowników. Organizacje korzystające z tej wtyczki powinny traktować tę lukę jako istotne zagrożenie dla integralności i bezpieczeństwa swoich serwisów.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki WP Booking Calendar i ich wdrożenie. W przypadku braku natychmiastowej poprawki należy ograniczyć uprawnienia użytkowników do niezbędnego minimum, zweryfikować i monitorować logi pod kątem podejrzanej aktywności oraz rozważyć zastosowanie dodatkowych mechanizmów zabezpieczających przed XSS. Priorytetem jest minimalizacja ekspozycji na atak poprzez kontrolę dostępu i aktualizację oprogramowania.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference