CVE-2024-10519: podatność XSS w wtyczce Wishlist for WooCommerce

Co wiadomo

Wtyczka Wishlist for WooCommerce: Multi Wishlists Per Customer PRO w wersjach 3.0.8 do 3.1.2 jest podatna na atak Reflected Cross-Site Scripting (XSS) poprzez parametr 'wtab' z powodu niewystarczającej sanitacji i ucieczki danych wejściowych. Atakujący mogą w ten sposób wstrzykiwać złośliwe skrypty, które wykonają się po nakłonieniu użytkownika do kliknięcia w spreparowany link.

Wpływ biznesowy

Podatność umożliwia nieautoryzowanym osobom wykonanie złośliwych skryptów w kontekście przeglądarki użytkownika, co może prowadzić do kradzieży danych sesji, przekierowań lub innych działań szkodliwych dla użytkowników i reputacji firmy. Zagrożenie dotyczy instalacji WordPress z wersją PHP 7.4 lub niższą, co wymaga szczególnej uwagi właścicieli sklepów korzystających z tej wtyczki.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki u dostawcy oraz jej wdrożenie. W przypadku braku natychmiastowej aktualizacji warto ograniczyć ekspozycję podatnego parametru, monitorować logi pod kątem podejrzanych żądań oraz edukować użytkowników w zakresie nieklikania w podejrzane linki. Priorytetowo należy ocenić ryzyko na podstawie wersji PHP i środowiska produkcyjnego.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference