Уразливість Stored XSS у плагіні Booking Calendar для WordPress

Що відомо

Плагін Booking Calendar для WordPress має уразливість збереженого міжсайтового скриптингу (Stored XSS) через недостатню санітизацію та екранування атрибутів користувача у шорткоді 'bookingcalendar' у версіях до 10.14.6 включно. Зловмисники з рівнем доступу не нижче контриб’ютора можуть впроваджувати шкідливі скрипти, які виконуються при перегляді сторінок.

Бізнес-вплив

Ця уразливість дозволяє автентифікованим користувачам із правами контриб’ютора і вище впроваджувати довготривалі скрипти, що можуть викрасти сесійні дані або змінити вміст сторінок, що негативно впливає на довіру користувачів і безпеку вебресурсу. Власники сайтів на WordPress повинні врахувати ризики компрометації даних та потенційних атак через XSS.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна Booking Calendar та встановити їх, якщо вони доступні. Якщо оновлення відсутні, слід обмежити права користувачів до мінімально необхідних, провести аудит логів на наявність підозрілої активності, а також впровадити додаткові заходи безпеки, такі як веб-аплікаційний фаєрвол (WAF) для блокування шкідливих запитів.

Джерела

• NVD
• Reference
• Reference