WP Hotel Booking do WordPressa podatny na przechowywany XSS w atrybucie shortcode 'widget_search'

Co wiadomo

Wtyczka WP Hotel Booking dla WordPressa do wersji 2.3.2 włącznie zawiera lukę przechowywanego Cross-Site Scripting (XSS) w atrybucie shortcode 'widget_search' z powodu niewystarczającej sanitacji danych wejściowych i ucieczki znaków. Atakujący z uprawnieniami co najmniej współtwórcy mogą wstrzykiwać złośliwe skrypty, które wykonają się podczas odwiedzin zainfekowanej strony, jednak atak jest możliwy tylko w przeglądarkach obsługujących klawisze dostępu.

Wpływ biznesowy

Luka umożliwia uwierzytelnionym użytkownikom z uprawnieniami współtwórcy lub wyższymi wstrzyknięcie złośliwego kodu JavaScript, co może prowadzić do kradzieży sesji, manipulacji zawartością strony lub innych działań szkodliwych dla użytkowników i administratorów. Może to wpłynąć na reputację serwisu oraz bezpieczeństwo danych, szczególnie w środowiskach z wieloma użytkownikami i ograniczonym nadzorem.

Rekomendowane działania administratora

Administratorzy powinni niezwłocznie sprawdzić dostępność aktualizacji wtyczki WP Hotel Booking i zastosować najnowszą wersję dostarczoną przez producenta. W przypadku braku możliwości natychmiastowej aktualizacji zaleca się ograniczenie uprawnień użytkowników do minimum, przegląd logów pod kątem podejrzanej aktywności oraz monitorowanie i filtrowanie danych wejściowych w atrybucie 'widget_search'.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference