CVE-2023-5230: podatność Stored XSS w wtyczce TM WooCommerce Compare & Wishlist

Co wiadomo

Wtyczka TM WooCommerce Compare & Wishlist dla WordPressa do wersji 1.1.7 włącznie jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez shortcode 'tm_woo_wishlist_table'. Problem wynika z niewystarczającej sanitacji i ucieczki danych wejściowych przekazywanych przez użytkownika.

Wpływ biznesowy

Atakujący z uprawnieniami co najmniej na poziomie współpracownika mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzania zainfekowanych stron. Może to prowadzić do kradzieży danych sesji, manipulacji zawartością strony lub innych działań szkodliwych dla użytkowników i reputacji firmy.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki u dostawcy oraz ich wdrożenie. W międzyczasie warto ograniczyć uprawnienia użytkowników do niezbędnego minimum, monitorować logi pod kątem podejrzanych działań oraz rozważyć tymczasowe wyłączenie funkcji korzystających z podatnego shortcode.

Źródła

• NVD
• Reference
• Reference