Уразливість підвищення привілеїв і XSS у WordPress Booking Calendar Contact Form 1.0.23

Що відомо

Плагін WordPress Booking Calendar Contact Form версії 1.0.23 має уразливості підвищення привілеїв та збереженого міжсайтового скриптингу (XSS), що дозволяють аутентифікованим користувачам змінювати налаштування плагіна та впроваджувати шкідливі скрипти. Зловмисники з рівнем підписника можуть через параметри, такі як price, name, calendar_language та email_confirmation_to_user, виконувати довільний JavaScript у браузерах адміністраторів.

Бізнес-вплив

Ця уразливість може призвести до компрометації облікових записів адміністраторів та зміни налаштувань плагіна, що підвищує ризик несанкціонованого доступу та впровадження шкідливого коду. Власники веб-інфраструктури повинні враховувати можливі наслідки для безпеки та цілісності даних, особливо якщо плагін використовується на сайтах з великою кількістю користувачів.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна від розробника та застосувати їх, якщо доступні. Якщо оновлення відсутні, слід обмежити доступ користувачів з низькими привілеями до функцій плагіна, провести аудит журналів на предмет підозрілої активності та розглянути можливість тимчасового відключення плагіна до усунення вразливості.

Джерела

• NVD
• Reference
• Reference
• Reference