漏洞标题
WordPress的vcita在线预订与日历插件（<= 4.4.6）- 缺少设置更新授权和任意文件上传
漏洞描述信息
vcita WordPress插件提供的在线预订和日程安排 WordPress 模板因 vcita_save_settings_callback 函数在版本4.2.10及以上版本的缺少能力检查而容易受到数据未经授权的修改。这使得具有最小权限的认证攻击者，例如订阅者，能够修改插件设置，上传媒体文件并注入恶意 JavaScript 代码。
CVSS信息
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:L/A:N
漏洞类别
授权机制缺失
漏洞标题
Online Booking & Scheduling Calendar for WordPress by vcita <= 4.4.6 - Missing Authorization to Settings Update and Arbitrary File Upload
漏洞描述信息
The Online Booking & Scheduling Calendar for WordPress by vcita plugin for WordPress is vulnerable to unauthorized modification of data due to a missing capability check on the vcita_save_settings_callback function in versions up to, and including, 4.4.6. This makes it possible for authenticated attackers with minimal permissions, such as a subscriber, to modify the plugins settings, upload arbitrary files, and inject malicious JavaScript (before 4.3.2).
CVSS信息
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:L
漏洞类别
授权机制缺失
漏洞标题
WordPress Plugin Online Booking & Scheduling Calendar 安全漏洞
漏洞描述信息
WordPress和WordPress plugin都是WordPress基金会的产品。WordPress是一套使用PHP语言开发的博客平台。该平台支持在PHP和MySQL的服务器上架设个人博客网站。WordPress plugin是一个应用插件。 WordPress Plugin Online Booking & Scheduling Calendar 4.2.10及之前版本存在安全漏洞，该漏洞源于缺少对 vcita_save_settings_callback 函数的功能检查，攻击者利用该漏洞可以修改
CVSS信息
N/A
漏洞类别
其他