Уразливість Reflected XSS у плагіні Events Manager для WordPress

Що відомо

Плагін Events Manager для WordPress має уразливість Reflected Cross-Site Scripting через параметр 'calendar_header' у версіях до 7.0.3 включно. Це дозволяє неавторизованим зловмисникам впроваджувати шкідливі скрипти, які виконуються при взаємодії користувача з посиланням.

Бізнес-вплив

Уразливість може призвести до виконання шкідливих скриптів у браузері користувачів, що загрожує крадіжкою сесій, фішингом або іншими атаками через веб-інтерфейс. Для власників сайтів на WordPress це означає підвищений ризик компрометації користувацьких даних і зниження довіри до сервісу.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна Events Manager від розробника та застосувати їх. Якщо оновлення недоступні, слід обмежити доступ до вразливих параметрів, провести аудит журналів на предмет підозрілої активності та підвищити обізнаність користувачів щодо безпечної взаємодії з посиланнями.

Джерела

• NVD
• Reference
• Reference
• Reference