WordPress · Vikrentcar Car Rental Management System · CVE-2021-24388
**Nome do software vulnerável e versões afetadas**
Versões anteriores à 1.1.7 do plugin VikRentCar Car Rental Management System para WordPress
**Descrição**
O problema está relacionado a uma vulnerabilidade de Cross-Site Scripting (XSS) armazenada. Ele ocorre porque o nome do campo na opção de campo personalizado não é devidamente sanitizado ou escapado antes de ser exibido na página. Além disso, não é realizada nenhuma verificação CSRF antes de salvar a configuração, o que permite que invasores manipulem um administrador conectado para definir campos personalizados arbitrários, incluindo aqueles com cargas de XSS.
**Recomendações**
Para versões anteriores à 1.1.7, atualize para a versão 1.1.7 ou posterior para resolver o problema.
Como solução temporária, considere desativar a opção de campo personalizado até que um patch esteja disponível.
Restrinja o acesso à página de gerenciamento de configurações para minimizar o risco de exploração.