Analytical use of cookies
CVE-2024-4288: Уразливість Stored XSS у плагіні Simply Schedule Appointments для WordPress
Уразливість Stored XSS у плагіні Simply Schedule Appointments для WordPress дозволяє впроваджувати шкідливі скрипти через параметр 'link'. Оновіть плагін для захисту.
- CVSS
- 6.4 MEDIUM
- EPSS
- 24.82%
- Активно використовується
- немає в KEV
- Продукт
- simply schedule appointments
Що відомо
Плагін Appointment Booking Calendar — Simply Schedule Appointments для WordPress містить уразливість збереженого міжсайтового скриптингу (Stored XSS) через параметр 'link' у версіях до 1.6.7.14 включно. Авторизовані користувачі з рівнем доступу не нижче контриб’ютора можуть впроваджувати довільні скрипти, які виконуються при перегляді сторінок.
Бізнес-вплив
Ця уразливість дозволяє зловмисникам з правами контриб’ютора або вище впроваджувати шкідливі скрипти, що може призвести до викрадення сесій, зміни контенту або інших атак на користувачів сайту. Власники сайтів на WordPress, які використовують цей плагін, ризикують компрометацією даних та зниженням довіри користувачів.
Рекомендовані дії адміністратора
Рекомендується перевірити наявність оновлень плагіна Simply Schedule Appointments від виробника та застосувати їх. Якщо оновлення недоступні, слід обмежити права користувачів до мінімально необхідних, провести аудит логів на ознаки експлуатації уразливості та зменшити експозицію вразливого параметра на сайті.