CVE-2021-24299
متوسطتم النشر
ReDi Restaurant Reservations < 21.0426 - ثغرة برمجة نصية عبر المواقع (XSS) مخزنة بدون مصادقة
- تم النشر
- 17/05/2021
- محدث
- 03/08/2024
- تخصيص CNA
- WPScan
- الأدلة المرصودة
- 24/05/2021
CVSS الأساسي
6.1/ 10متوسط
ReDi Restaurant Reservations < 21.0426 - ثغرة برمجة نصية عبر المواقع (XSS) مخزنة بدون مصادقة
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:Nمنخفض · الثلاثين يومًا القادمة
EPSS هو تقدير إحصائي، وليس يقينًا أو مقياسًا للتأثير. ادمجها مع CVSS وحالة KEV والتعرض وبيئتك.
مكوّن ReDi Restaurant Reservation لووردبريس قبل الإصدار 21.0426 يوفر وظيفة تتيح للمستخدمين إجراء حجوزات المطاعم. يتم تخزين هذه الحجوزات ويمكن إدراجها في صفحة 'Upcoming' التي يوفرها المكوّن. يمكن لمستخدم غير مصادَق أن يملأ النموذج لإجراء حجز مطعم. حقل النموذج المخصص لإجراء حجز المطعم والمُسمى 'Comment' لا يستخدم تحققاً صحيحاً من الإدخال ويمكن استخدامه لتخزين حمولات XSS. سيتم تنفيذ حمولات XSS عندما ينتقل مستخدم المكوّن إلى صفحة 'Upcoming'، وهي موقع ويب خارجي https://upcoming.reservationdiary.eu/ يُحمَّل في iframe، ويتم تحميل الحجز المخزّن الذي يحتوي على حمولة XSS.
Bastijn Ouwendijk · php · 24/05/2021
استخدم معلومات الثغرات الأمنية فقط على الأنظمة التي تمتلكها أو المرخص لها باختبارها. يرتبط Kitploit ببيانات تعريف البحث العامة ولا يخزن أكواد الاستغلال أو الحمولات الضارة.