Analityczne wykorzystywanie plików cookies
Wrażliwość Stored Cross-Site Scripting w wtyczce LatePoint dla WordPress
Podatność Stored XSS w wtyczce LatePoint do WordPress umożliwia atakującym z uprawnieniami współtwórcy wstrzyknięcie złośliwego kodu. Zalecana aktualizacja i monitoring.
- CVSS
- 6.4 MEDIUM
- EPSS
- 14.1%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- -
Co wiadomo
Wtyczka LatePoint – Calendar Booking Plugin for Appointments and Events dla WordPress jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez parametr 'id' shortcode 'latepoint_resources' w wersjach do 5.1.94 włącznie. Atakujący z uprawnieniami co najmniej na poziomie Współtwórcy mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzin zainfekowanej strony.
Wpływ biznesowy
Podatność umożliwia atakującym z uprawnieniami współtwórcy lub wyższymi wstrzyknięcie złośliwego kodu, co może prowadzić do przejęcia sesji użytkowników, defacementu strony lub innych działań szkodliwych dla reputacji i bezpieczeństwa firmy. W środowiskach produkcyjnych może to skutkować utratą zaufania klientów oraz potencjalnymi naruszeniami danych.
Rekomendowane działania administratora
Administratorzy powinni niezwłocznie zweryfikować wersję wtyczki LatePoint i zaktualizować ją do najnowszej dostępnej wersji, jeśli jest dostępna poprawka. W przypadku braku aktualizacji zaleca się ograniczenie dostępu do panelu administracyjnego oraz monitorowanie logów pod kątem podejrzanej aktywności. Warto również przeprowadzić przegląd uprawnień użytkowników i ograniczyć je do niezbędnego minimum.