CVE-2016-20070
Açıklama
WordPress Booking Calendar Contact Form 1.0.23, kullanıcı yetkilerini doğrulamadığı ve giriş parametrelerini temizlemediği için kimliği doğrulanmış kullanıcıların eklenti seçeneklerini değiştirmesine ve kötü amaçlı betikler yerleştirmesine olanak tanıyan yetki yükseltme ve depolanan siteler arası betik çalıştırma (XSS) zafiyetleri içermektedir. Abone düzeyinde hesaba sahip saldırganlar; yönetici tarayıcılarında rastgele JavaScript çalıştırmak amacıyla admin-ajax.php ve admin.php uç noktaları üzerinden price, name, calendar_language ve email_confirmation_to_user gibi parametreler aracılığıyla XSS yükleri yerleştirebilir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| dwbooster Booking Calendar Contact Form | v ≤ 1.0.23 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.