Analytical use of cookies
Вразливість Stored XSS у плагіні Easy Appointments для WordPress
Вразливість Stored XSS у плагіні Easy Appointments (до версії 3.11.18) дозволяє автентифікованим користувачам впроваджувати шкідливі скрипти. Рекомендується оновлення та аудит безпеки.
- CVSS
- 6.4 MEDIUM
- EPSS
- 24.63%
- Активно використовується
- немає в KEV
- Продукт
- easy appointments
Що відомо
Плагін Easy Appointments для WordPress має вразливість збереженого міжсайтового скриптингу (Stored XSS) через shortcode 'ea_full_calendar' у версіях до 3.11.18 включно. Це дозволяє автентифікованим користувачам з рівнем доступу не нижче контриб'ютора впроваджувати шкідливі скрипти, які виконуються при перегляді сторінок.
Бізнес-вплив
Вразливість може призвести до виконання довільних скриптів у браузерах користувачів сайту, що загрожує компрометацією сесій, викраденням даних або іншими атаками. Для власників сайтів на WordPress з встановленим Easy Appointments це означає підвищений ризик безпеки, особливо якщо користувачі мають права контриб'ютора і вище.
Рекомендовані дії адміністратора
Рекомендується перевірити наявність оновлень плагіна Easy Appointments і встановити їх, якщо вони доступні. Якщо оновлення відсутні, слід обмежити права користувачів, провести аудит журналів безпеки на наявність підозрілої активності та мінімізувати експозицію вразливих сторінок. Важливо також регулярно моніторити офіційні повідомлення розробника плагіна.