Уразливість Stored XSS у плагіні YOGO Booking для WordPress

Що відомо

Плагін YOGO Booking для WordPress містить уразливість Stored Cross-Site Scripting (XSS) через недостатню санітизацію та екранування атрибутів шорткоду 'yogo-calendar' у версіях до 1.6.2 включно. Авторизовані користувачі з рівнем доступу не нижче контриб’ютора можуть впроваджувати шкідливі скрипти, які виконуються при перегляді сторінок.

Бізнес-вплив

Ця уразливість дозволяє зловмисникам з правами контриб’ютора або вище впроваджувати довготривалі скрипти на сайтах WordPress, що може призвести до викрадення сесій, зміни контенту або інших атак на користувачів і адміністраторів. Власники сайтів повинні оцінити ризики, особливо якщо доступ до редагування контенту мають кілька користувачів.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна YOGO Booking і встановити їх у разі доступності. Якщо оновлення відсутні, слід обмежити права користувачів до мінімально необхідних, переглянути журнали безпеки на наявність підозрілої активності та зменшити експозицію сайту. Також варто контролювати введення даних через шорткод 'yogo-calendar'.

Джерела

• NVD
• Reference
• Reference