Вразливість Stored XSS у плагіні Smart Appointment & Booking для WordPress

Що відомо

Плагін Smart Appointment & Booking для WordPress має вразливість типу Stored Cross-Site Scripting (XSS) через недостатню санітизацію введених даних у AJAX дії saab_save_form_data у версіях до 1.0.7 включно. Атакуючі з рівнем доступу не нижче підписника можуть впроваджувати шкідливі скрипти, які виконуватимуться при перегляді заражених сторінок.

Бізнес-вплив

Ця вразливість дозволяє аутентифікованим користувачам впроваджувати довготривалі скрипти, що можуть викрасти сесійні дані або змінити відображення сторінок, що загрожує безпеці користувачів і цілісності вебресурсу. Для власників сайтів на WordPress це може призвести до втрати довіри користувачів та потенційних фінансових збитків.

Рекомендовані дії адміністратора

Рекомендується оновити плагін Smart Appointment & Booking до останньої версії, де ця вразливість усунена. Якщо оновлення неможливе, слід обмежити доступ користувачів з рівнем підписника та вище, провести аудит логів на наявність підозрілої активності та впровадити додаткові заходи фільтрації введених даних.

Джерела

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference