Уразливість Stored XSS у плагіні WP Booking Calendar для WordPress

Що відомо

Плагін WP Booking Calendar для WordPress має уразливість збереженого міжсайтового скриптингу (Stored XSS) через недостатню санітизацію введених даних у налаштуваннях адміністратора. Це дозволяє автентифікованим користувачам з правами адміністратора або вище впроваджувати довільні скрипти, які виконуються при відкритті зараженої сторінки.

Бізнес-вплив

Уразливість впливає на багатосайтові інсталяції та ті, де опція unfiltered_html вимкнена, що може призвести до компрометації безпеки сайту через виконання шкідливих скриптів. Адміністратори, які надають права керування плагіном користувачам з нижчим рівнем доступу, можуть розширити ризик експлуатації. Це створює потенційну загрозу для цілісності та конфіденційності даних на сайті.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна WP Booking Calendar від розробника та застосувати їх при наявності. Якщо оновлення недоступні, слід обмежити права доступу до налаштувань плагіна, особливо для користувачів з нижчим рівнем доступу, а також переглянути журнали безпеки на предмет підозрілої активності. Зменшення експозиції вразливих компонентів і регулярний моніторинг допоможуть мінімізувати ризики.

Джерела

• NVD
• Reference
• Reference