PT-2024-39665 · WordPress · Booking Calendar

Rein Daelman + 1 · Publicado 2024-11-26 · Atualizado 2024-11-26 · CVE-2024-9504

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.2

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:C/C:L/I:L/A:N

Nome do software vulnerável e versões afetadas

O plugin “Booking calendar, Appointment Booking System” para o WordPress, nas versões até a 3.2.15, inclusive

Descrição

A vulnerabilidade está relacionada a um ataque de Stored Cross-Site Scripting (XSS) por meio do upload de arquivos SVG, devido à sanitização insuficiente de entradas e à falta de escapamento de saídas. Isso permite que invasores não autenticados injetem scripts web arbitrários em páginas que serão executados sempre que um usuário acessar o arquivo SVG.

Recomendações

Para versões até a 3.2.15, inclusive, atualize para uma versão superior à 3.2.15 para resolver o problema.

Como solução temporária, considere restringir o upload de arquivos SVG até que um patch esteja disponível.

Correção

Unrestricted File Upload

Enumeração de Fraquezas

CWE-434

Identificadores relacionados

CVE-2024-9504

Produtos afetados

Booking Calendar

Referências · 5

• https://hacked.be/posts/CVE-2024-9504 · Nota
• https://plugins.trac.wordpress.org/changeset/3195800/booking-calendar · Nota
• https://twitter.com/CVEnew/status/1861314514618360122 · Publicação no Twitter
• https://wordfence.com/threat-intel/vulnerabilities/id/1fb05281-205f-4d9c-aac9-2b37e069a6fb?source=cve · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2024-9504 · Nota de Segurança