Plataforma
wordpress
Componente
wordpress
Corregido en
2.3.1
La vulnerabilidad CVE-2023-54358 es una falla de Cross-Site Scripting (XSS) reflejado presente en la versión 2.3 del plugin adivaha Travel para WordPress. Un atacante no autenticado puede inyectar scripts maliciosos manipulando el parámetro GET 'isMobile' en el endpoint /mobile-app/v3/. Esta vulnerabilidad permite la ejecución de código arbitrario en el navegador de la víctima, comprometiendo potencialmente la seguridad de la aplicación.
Esta vulnerabilidad XSS reflejada permite a un atacante inyectar código JavaScript malicioso en las páginas web del sitio WordPress. Al engañar a un usuario para que visite una URL especialmente diseñada, el atacante puede ejecutar este código en el contexto del navegador del usuario. Esto puede resultar en el robo de cookies de sesión, credenciales de inicio de sesión u otra información sensible. El atacante podría también redirigir al usuario a un sitio web malicioso, o modificar el contenido de la página web para engañar al usuario. La severidad de este ataque depende de los privilegios del usuario afectado y de la sensibilidad de la información a la que tiene acceso.
La vulnerabilidad fue publicada el 2026-04-09. No se ha reportado su inclusión en el KEV de CISA. No se conocen públicamente pruebas de concepto (PoCs) activas, pero la naturaleza de la vulnerabilidad XSS la hace susceptible a explotación. Se recomienda monitorear la actividad en el sitio web y aplicar las mitigaciones recomendadas.
Estado del Exploit
EPSS
0.08% (24% percentil)
CISA SSVC
Vector CVSS
La mitigación principal para CVE-2023-54358 es actualizar el plugin adivaha Travel a una versión corregida, una vez que esté disponible. Mientras tanto, se recomienda implementar medidas de seguridad adicionales, como la validación y el saneamiento de todas las entradas de usuario en el endpoint /mobile-app/v3/. También se puede considerar el uso de un Web Application Firewall (WAF) para bloquear solicitudes maliciosas que contengan payloads XSS. Monitorear los logs del servidor en busca de patrones sospechosos, como solicitudes con parámetros 'isMobile' inusuales, también puede ayudar a detectar y prevenir ataques.
Actualice el plugin adivaha Travel a la última versión disponible para mitigar la vulnerabilidad de XSS. Verifique las actualizaciones del plugin en el panel de administración de WordPress o en el sitio web del desarrollador. Implemente medidas de seguridad adicionales, como la validación y el saneamiento de la entrada del usuario, para prevenir futuras vulnerabilidades de XSS.
Análisis de vulnerabilidades y alertas críticas directamente en tu correo.
CVE-2023-54358 is a reflected cross-site scripting (XSS) vulnerability in the adivaha Travel Plugin for WordPress, allowing attackers to inject malicious scripts via the isMobile parameter. This can lead to session hijacking and other malicious activities.
You are affected if you are using the adivaha Travel Plugin in WordPress versions prior to 2.3. Check your plugin version and upgrade immediately if you are vulnerable.
Upgrade the adivaha Travel Plugin to version 2.3 or later. If immediate upgrading is not possible, implement input validation and sanitization on the /mobile-app/v3/ endpoint.
While no public exploits or active campaigns have been reported, the vulnerability's ease of exploitation suggests a potential for future attacks. Monitor your systems closely.
Refer to the WordPress plugin repository and the adivaha Travel Plugin developer's website for the latest information and security advisories related to CVE-2023-54358.
Sube tu archivo de dependencias y detecta esta y otras CVEs al instante.
Sube tu archivo de dependencias y detecta esta y otras CVEs al instante.