CVE-2023-7151: podatność XSS w wtyczce Product Enquiry for WooCommerce

Co wiadomo

Wtyczka Product Enquiry for WooCommerce w wersjach przed 3.2 nie sanitizuje i nie zabezpiecza parametru strony przed zwróceniem go w atrybucie, co prowadzi do podatności typu Reflected Cross-Site Scripting (XSS). Atak może być wymierzony w użytkowników o wysokich uprawnieniach, takich jak administratorzy.

Wpływ biznesowy

Podatność XSS może umożliwić atakującym wykonanie złośliwego kodu w kontekście przeglądarki administratora, co może prowadzić do przejęcia kontroli nad panelem zarządzania sklepem WooCommerce. Może to skutkować nieautoryzowanymi zmianami w konfiguracji, wyciekiem danych lub dalszymi atakami na infrastrukturę IT.

Rekomendowane działania administratora

Zaleca się niezwłoczne zaktualizowanie wtyczki Product Enquiry for WooCommerce do wersji 3.2 lub nowszej, w której podatność została załatana. W przypadku braku możliwości aktualizacji, ogranicz dostęp do panelu administracyjnego oraz monitoruj logi pod kątem podejrzanej aktywności. Regularnie przeglądaj i stosuj zalecenia producenta dotyczące bezpieczeństwa.

Źródła

• NVD
• Reference