Analityczne wykorzystywanie plików cookies
CVE-2023-4160: podatność Stored Cross-Site Scripting w WooCommerce PDF Invoice Builder
Podatność Stored XSS w WooCommerce PDF Invoice Builder do wersji 1.2.90 pozwala administratorom na wstrzykiwanie złośliwych skryptów. Zalecane szybkie aktualizacje i monitoring.
- CVSS
- 4.4 MEDIUM
- EPSS
- 33.74%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- woocommerce pdf invoice builder
Co wiadomo
Wtyczka WooCommerce PDF Invoice Builder dla WordPressa w wersjach do 1.2.90 włącznie posiada podatność Stored Cross-Site Scripting z powodu niewystarczającej sanitacji danych wejściowych i ucieczki znaków w panelu administracyjnym. Atakujący z uprawnieniami administratora mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzin zainfekowanych stron.
Wpływ biznesowy
Podatność ta dotyczy instalacji wielostanowiskowych oraz tych, gdzie opcja unfiltered_html jest wyłączona. Może prowadzić do wykonania złośliwego kodu w kontekście przeglądarki administratora, co zagraża integralności i bezpieczeństwu zarządzanych stron. Operatorzy powinni zwrócić uwagę na potencjalne ryzyko eskalacji ataków i utraty kontroli nad witryną.
Rekomendowane działania administratora
Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki u dostawcy oraz ich wdrożenie. W międzyczasie warto ograniczyć dostęp do panelu administracyjnego, zweryfikować i oczyścić ustawienia wtyczki pod kątem podejrzanych wpisów oraz monitorować logi pod kątem nietypowej aktywności. Priorytetem jest minimalizacja ekspozycji i szybka reakcja na potencjalne incydenty.