CVE-2022-50948
ŚrednieCVSS 6.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 9 - wyżej niż 9% wszystkich znanych CVE
Streszczenie
Motopress Hotel Booking Lite 4.2.4 zawiera podatność na trwałe XSS, umożliwiającą uwierzytelnionym atakującym wstrzykiwanie złośliwych skryptów przez pola tytułu i opisu podczas tworzenia typów zakwaterowania. Skrypty wykonują się w przeglądarkach odwiedzających stronę z zakwaterowaniem.
Ocena ryzyka
Atakujący może wstrzyknąć skrypty, które wykonują się u odwiedzających stronę, co może prowadzić do kradzieży danych lub przejęcia sesji.
Rekomendacja
Zaktualizuj wtyczkę Motopress Hotel Booking Lite do najnowszej wersji zawierającej poprawkę bezpieczeństwa.
Oryginalny opis (angielski, źródło NVD)
Motopress Hotel Booking Lite 4.2.4 contains a stored cross-site scripting vulnerability that allows authenticated attackers to inject malicious scripts by submitting payloads in accommodation type fields. Attackers can inject script tags through the title and excerpt parameters when creating accommodation types, which execute in the browser when visitors access the accommodations page.