CVE-2016-20070

Nome do Software Vulnerável e Versões Afetadas WordPress Booking Calendar Contact Form versões anteriores a 1.0.24

Descrição Usuários autenticados com nível de acesso de assinante podem realizar escalada de privilégios e cross-site scripting (XSS) armazenado ao explorar a sanitização insuficiente de entrada e a falta de escape de saída. Atacantes podem injetar payloads de JavaScript maliciosos através dos parâmetros price, name, calendar language e email confirmation to user via os endpoints 'admin-ajax.php' e 'admin.php'. Esses scripts são executados nos navegadores de administradores, permitindo a modificação de opções do plugin.

Recomendações Atualize o WordPress Booking Calendar Contact Form para a versão 1.0.24 ou posterior.