CVE-2021-24299
ReDi Restaurant Reservations < 21.0426 - Cross-Site Scripting (XSS) Almacenado No Autenticado
- Publicado
- 17 may 2021
- Actualizado
- 3 ago 2024
- Asignación de CNA
- WPScan
- Evidencia observada
- 24 may 2021
CVSS primario
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:NBajo · próximos 30 días
- Percentil
- 92,5 %
- Fecha del modelo
- 21 sept 2026
EPSS es una estimación estadística, no una certeza o una medida de impacto. Combínelo con CVSS, estado KEV, exposición y su entorno.
Resumen
El plugin de WordPress para ReDi Restaurant Reservation versiones anteriores al 21.0426, proporciona la funcionalidad para permitir a usuarios hacer reservas en restaurantes. Estas reservas son almacenadas y pueden ser enumeradas en una página de "Upcoming" proporcionada por el plugin. Un usuario no autenticado puede completar el formulario para hacer una reserva en un restaurante. El formulario para hacer un campo de reserva de restaurante llamado "Comment" no usa la comprobación de entrada apropiada y puede ser usada para almacenar cargas útiles XSS. Las cargas útiles XSS serán ejecutadas cuando el usuario del plugin vaya a la página "Upcoming", que es un sitio web externo https://upcoming.reservationdiary.eu/ cargado en un iframe, y es cargado la reserva almacenada con la carga útil XSS
Fuentes
1- WordPress Plugin ReDi Restaurant Reservation 21.0307 - 'Comment' Stored Cross-Site Scripting (XSS)Exploit
Bastijn Ouwendijk · php · 24 may 2021
Uso responsable
Utilice información sobre vulnerabilidades solo en sistemas de su propiedad o que esté autorizado a probar. Kitploit enlaza con metadatos de investigación pública y no almacena código de explotación ni cargas útiles maliciosas.