CVE-2024-12118

Nome do Software Vulnerável e Versões Afetadas O plugin The Events Calendar para WordPress, versões até e incluindo a 6.9.0

Descrição A questão está relacionada a Cross-Site Scripting Armazenado (Stored XSS) via o Widget de Link do Event Calendar através do atributo html tag, devido à sanitização de entrada e escape de saída insuficientes. Isso permite que atacantes autenticados, com acesso de nível Contributor ou superior, injetem scripts web arbitrários em páginas, os quais serão executados sempre que um usuário acessar uma página comprometida.

Recomendações Para versões até e incluindo a 6.9.0, considere desativar o atributo html tag no Widget de Link do Event Calendar como uma solução temporária até que uma correção esteja disponível. Restrinja o acesso ao Widget de Link do Event Calendar para minimizar o risco de exploração. Evite usar o atributo html tag no widget afetado até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.