CVE-2024-9872

O plugin “Online Booking & Scheduling Calendar for WordPress” da vcita para versões do WordPress até a 4.5.1, inclusive

O problema está relacionado à falta de uma verificação de permissão na função vcita save user data callback(), permitindo que invasores autenticados com acesso de nível de Assinante ou superior injetem scripts maliciosos na web e atualizem configurações. Essa vulnerabilidade pode ser explorada para modificar dados sem autorização.

Para versões até a 4.5.1, inclusive, atualize para uma versão superior à 4.5.1 para resolver o problema.

Como solução temporária, considere desativar a função vcita save user data callback() até que um patch esteja disponível.