CVE-2023-4500: podatność XSS w wtyczce Order Tracking Pro dla WordPress

Co wiadomo

Wtyczka Order Tracking Pro dla WordPress w wersjach do 3.3.6 włącznie jest podatna na przechowywany atak Cross-Site Scripting (XSS) poprzez parametr statusu zamówienia. Luka wynika z niewystarczającej sanitacji danych wejściowych i braku odpowiedniego zabezpieczenia wyjścia, co umożliwia uwierzytelnionym atakującym (z uprawnieniami administratora lub wyższymi) wstrzyknięcie złośliwych skryptów.

Wpływ biznesowy

Podatność ta dotyczy instalacji multisite oraz tych, gdzie wyłączono filtrację unfiltered_html. Atakujący mogą wykorzystać lukę do wykonania złośliwych skryptów w kontekście przeglądarki użytkownika, co może prowadzić do kradzieży sesji lub innych działań na koncie. Właściciele stron powinni zwrócić uwagę na potencjalne ryzyko związane z bezpieczeństwem danych i reputacją serwisu.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Order Tracking Pro u dostawcy oraz ich wdrożenie. W międzyczasie warto ograniczyć uprawnienia użytkowników, monitorować logi pod kątem podejrzanych działań oraz rozważyć ograniczenie dostępu do funkcji związanych z parametrem statusu zamówienia. Przegląd konfiguracji multisite i ustawień unfiltered_html również jest wskazany.

Źródła

• NVD
• Reference
• Reference