CVE-2024-0957: podatność XSS w wtyczce WooCommerce PDF Invoices i pokrewnych

Co wiadomo

Wtyczka WooCommerce PDF Invoices, Packing Slips, Delivery Notes and Shipping Labels dla WordPressa do wersji 4.4.1 zawiera podatność typu Stored Cross-Site Scripting (XSS) w polu Customer Notes. Pozwala to nieautoryzowanym atakującym na wstrzyknięcie złośliwych skryptów, które wykonują się podczas przeglądania faktur.

Wpływ biznesowy

Podatność umożliwia atakującym wykonanie złośliwego kodu w kontekście przeglądarki użytkownika, co może prowadzić do kradzieży danych, przejęcia sesji lub innych działań szkodliwych dla użytkowników i właścicieli sklepów internetowych. Może to negatywnie wpłynąć na reputację firmy oraz bezpieczeństwo klientów.

Rekomendowane działania administratora

Zaleca się jak najszybsze zaktualizowanie wtyczki do wersji zawierającej poprawkę bezpieczeństwa. W przypadku braku dostępnej aktualizacji, należy ograniczyć dostęp do funkcji dodawania notatek klienta, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć zastosowanie dodatkowych mechanizmów filtrowania i sanitizacji danych wejściowych.

Źródła

• NVD
• Reference
• Reference