CVE-2023-6626: podatność XSS w wtyczce Product Enquiry for WooCommerce

Co wiadomo

Wtyczka Product Enquiry for WooCommerce w wersjach przed 3.1 nie sanitizuje i nie ucieka niektórych ustawień, co umożliwia użytkownikom o wysokich uprawnieniach, takim jak administratorzy, przeprowadzenie ataków typu Stored Cross-Site Scripting (XSS), nawet gdy zdolność unfiltered_html jest wyłączona, np. w konfiguracjach multisite.

Wpływ biznesowy

Atakujący z uprawnieniami administratora mogą wykorzystać tę lukę do wstrzyknięcia złośliwego kodu JavaScript, co może prowadzić do przejęcia sesji, manipulacji danymi lub innych działań szkodliwych dla witryny i jej użytkowników. W środowiskach multisite, gdzie unfiltered_html jest zazwyczaj wyłączone, ryzyko to nadal występuje, co zwiększa potencjalne zagrożenie dla całej sieci stron.

Rekomendowane działania administratora

Zaleca się jak najszybszą aktualizację wtyczki Product Enquiry for WooCommerce do wersji 3.1 lub nowszej, w której problem został załatany. W przypadku braku możliwości natychmiastowej aktualizacji, warto ograniczyć uprawnienia użytkowników oraz monitorować logi pod kątem podejrzanych działań. Dodatkowo należy regularnie przeglądać i aktualizować polityki bezpieczeństwa oraz stosować najlepsze praktyki dotyczące zarządzania uprawnieniami w WordPress.

Źródła

• NVD
• Reference