CVE-2023-6892: podatność Stored XSS w wtyczce EAN for WooCommerce

Co wiadomo

Wtyczka EAN for WooCommerce dla WordPressa jest podatna na atak typu Stored Cross-Site Scripting (XSS) poprzez shortcode 'alg_wc_ean_product_meta' we wszystkich wersjach do 4.8.7 włącznie. Luka wynika z niewystarczającej sanitizacji i escapingu danych wejściowych od użytkowników z uprawnieniami co najmniej na poziomie współpracownika.

Wpływ biznesowy

Atakujący z uprawnieniami współpracownika lub wyższymi mogą wstrzykiwać złośliwe skrypty, które wykonają się podczas przeglądania zainfekowanych stron. Może to prowadzić do przejęcia sesji, defraudacji danych lub innych działań szkodliwych dla użytkowników i administratorów witryny. Właściciele sklepów WooCommerce powinni zwrócić uwagę na potencjalne ryzyko naruszenia bezpieczeństwa i reputacji.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki u dostawcy oraz jej instalację. W międzyczasie ogranicz dostęp do edycji treści użytkownikom z uprawnieniami współpracownika i wyższymi oraz monitoruj logi pod kątem podejrzanych działań. Warto także przeprowadzić audyt bezpieczeństwa i rozważyć zastosowanie dodatkowych mechanizmów filtrowania i walidacji danych wejściowych.

Źródła

• NVD
• Reference
• Reference