影响WordPress插件Redi餐厅预订的一个易于攻击的漏洞允许未经验证的攻击者通过简单地将恶意JavaScript代码片段提交到预订备注字段来窃取预订数据和客户个人身份信息。

该漏洞影响21.0307之前的Redi餐厅预订版本，该插件的补丁(v.21.0426)版本可供下载。该漏洞(CVE-2021-24299)是一个持久性跨站点脚本错误。该缺陷尚未评级。

据被认为发现了Redi漏洞的Bastijn Ouwendijk称，周日发布了Redi漏洞的公开概念验证信息，官方公开披露的时间推迟了一个月，“原因是漏洞的严重程度”，这一点被归功于发现了该漏洞的巴斯蒂恩·乌文迪克(Bastijn Ouwendijk)。研究人员在4月15日通知了插件Catz Soft的制造商。4月25日，修复程序已经发布。

Ouwendijk在周日发布的一份技术细目和概念证明中表示：“(这个漏洞)使得恶意攻击者有可能窃取插件API密钥，并有可能窃取预订的客户的信息，窃取cookie或其他敏感数据，”Ouwendijk在周日发布的一份技术细目和概念证明中表示。

泄露的应用程序编程接口(API)密钥在数十次攻击中一直是黑客的热门目标，并对更多的供应商修复负责。Twitter、Imperva的Cloud Web Application Firewall以及最近30款流行的mHealth应用都在努力解决不安全的API密钥问题。

轻松利用漏洞进行攻击。

对Redi餐厅预订插件漏洞的回顾表明，攻击者只需使用JavaScript有效负载(长度不到250个字符)即可利用XSS漏洞发动攻击。

“这个漏洞是如何运作的？该插件为用户提供了预订餐厅的功能。用户只需访问预订页面，“研究人员解释说。接下来，攻击者进行预订，并在“Comment”字段中输入恶意JavaScript。因为文本和JavaScript代码没有经过清理或呈现为无害的，所以用户注释数据“被处理并保存到局部变量中”。

“接下来，将保存的变量推送到数据库。还要注意，在将变量推送到数据库之前，不会对其进行清理或验证。这意味着我们通过表单为变量UserName、UserPhone、UserEmail和UserComments提交的字符串将原封不动地保存到数据库中，“研究人员写道。

当WordPress网站管理员或餐厅老板通过平台自己的网页查看预订时，就会执行有效负载。

“这是一个网页，您可以在这里查看特定时间段的预订情况。这个页面不是WordPress网页，而是一个加载到IFRAME中的外部页面，这在PHP代码中可以看到，“研究人员说。

PHP(超文本预处理器)是用于生成在Web服务器上执行的动态内容的脚本语言。

“iFrame中加载的URL获取URL https[：//]upcoming.reservationdiary[.]eu/Entry/，并将其附加到您的Redi餐厅预订插件中注册的api-key。当访问这个url时，它会显示特定时间段内的所有预订，“Ouwendijk写道。

该插件的出版商Catz Soft没有回复记者的置评请求。研究人员乌文迪克(Ouwendijk)没有回答有关这个漏洞的具体技术问题。