„`html
Zusammenfassung
Die WordPress-Erweiterung „Booking Calendar Contact Form“ in Version 1.0.23 weist kritische SicherheitslĂĽcken auf. Das Plugin enthält eine Privilege-Escalation-Anfälligkeit sowie mehrere Stored-XSS-Schwachstellen (Cross-Site Scripting). Diese ermöglichen es authentifizierten Benutzern mit Subscriber-Berechtigung, Plugin-Optionen zu modifizieren und persistente JavaScript-Code-Injektionen durchzufĂĽhren. Die fehlende Validierung von Benutzerberechtigungen und unzureichende Input-Sanitization bilden die Grundlage fĂĽr diese Exploits.
Betroffene Systeme
WordPress-Installationen mit installiertem Plugin „Booking Calendar Contact Form“ Version 1.0.23 und älter. Besonders gefährdet sind Systeme mit mehrbenutzerfähigen Umgebungen, in denen Subscriber-Level-Konten vorhanden sind. Das Plugin wird ĂĽber verschiedene WordPress-Repositorien und Drittanbieter-Plattformen verteilt.
Technische Details
Die Schwachstelle existiert in den AJAX-Endpunkten admin-ajax.php und admin.php. Der Authentifizierungsmechanismus validiert nicht ausreichend die Benutzer-Rollen vor der Verarbeitung von Eingabeparametern. Anfällige Parameter umfassen: price, name, calendar_language und email_confirmation_to_user. Subscriber-Konten können diese Parameter mit XSS-Payloads manipulieren, die bei Administrator-Zugriffen ausgeführt werden.
Das fehlende Escaping und Content-Security-Policy ermöglicht die Ausführung beliebigen JavaScripts im Administratorkontext. Dies kann zur Erstellung zusätzlicher Admin-Konten oder zum Datendiebstahl führen.
Empfohlene Massnahmen
- Sofortige Deinstallation von Plugin-Version 1.0.23
- Überprüfung der Admin-Logs auf verdächtige Aktivitäten
- Reduktion von Subscriber-Konten auf notwendige Accounts
- Implementierung von Web Application Firewalls (WAF) zur XSS-Filterung
- Regelmäßige WordPress-Core und Plugin-Updates
- Einsatz von Content-Security-Policy Header
Bewertung
CVSS 6.4 (Mittel) – Die Anfälligkeit erfordert Authentifizierung, bietet jedoch erhebliche Auswirkungen auf die Integrität und Vertraulichkeit. Die fehlende Patch-Verfügbarkeit verschärft die Risikosituation erheblich.
„`