Analityczne wykorzystywanie plików cookies
Luka XSS w wtyczce XO Event Calendar dla WordPress
Wtyczka XO Event Calendar do WordPress ma lukę XSS umożliwiającą ataki przez shortcode 'xo_event_field'. Sprawdź zalecenia bezpieczeństwa.
- CVSS
- 6.4 MEDIUM
- EPSS
- 22.95%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- -
Co wiadomo
Wtyczka XO Event Calendar dla WordPress do wersji 3.2.10 zawiera lukę typu Stored Cross-Site Scripting (XSS) w shortcode 'xo_event_field', wynikającą z niewystarczającej sanitacji i escapingu danych wejściowych. Atakujący z uprawnieniami co najmniej współtwórcy mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzin zainfekowanej strony.
Wpływ biznesowy
Luka pozwala na wykonanie złośliwego kodu JavaScript w kontekście przeglądarki użytkownika, co może prowadzić do kradzieży sesji, manipulacji zawartością strony lub innych działań szkodliwych dla użytkowników i reputacji firmy. Operatorzy stron WordPress korzystający z tej wtyczki powinni zwrócić uwagę na potencjalne ryzyko naruszenia bezpieczeństwa i danych.
Rekomendowane działania administratora
Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki XO Event Calendar i jej instalację. W przypadku braku łatki należy ograniczyć dostęp użytkowników do poziomu niższego niż współtwórca oraz monitorować logi pod kątem podejrzanej aktywności. Dodatkowo warto przeprowadzić przegląd i oczyszczenie treści stron pod kątem wstrzykniętych skryptów.