Уразливість Stored XSS у плагіні Trafft для WordPress (CVE-2024-11754)

Що відомо

Плагін Booking System Trafft для WordPress містить уразливість збереженого міжсайтового скриптингу (Stored XSS) через shortcode 'trafftbooking' у версіях до 1.0.6 включно. Недостатня санітизація та екранування введених користувачем атрибутів дозволяє автентифікованим користувачам з рівнем доступу не нижче контриб’ютора впроваджувати шкідливі скрипти на сторінках.

Бізнес-вплив

Уразливість може призвести до виконання довільних скриптів у браузерах користувачів сайту, що загрожує компрометацією сесій, викраденням даних або іншими атаками. Власники сайтів на WordPress, які використовують цей плагін, ризикують порушенням безпеки та довіри користувачів. Особливо це стосується ресурсів з кількома користувачами, де є контриб’ютори або вищі рівні доступу.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна Trafft і встановити останню версію, якщо вона доступна. Якщо оновлення неможливе, слід обмежити доступ користувачів до рівня нижче контриб’ютора, провести аудит введених даних і впровадити додаткові заходи з фільтрації та екранування. Також варто переглянути журнали безпеки на предмет підозрілої активності та пріоритезувати виправлення цієї уразливості.

Джерела

• NVD
• Reference
• Reference