Analityczne wykorzystywanie plików cookies
CVE-2024-1054: podatność Stored Cross-Site Scripting w Booster for WooCommerce
Wtyczka Booster for WooCommerce do wersji 7.1.6 ma podatność Stored XSS, umożliwiającą ataki przez shortcode 'wcj_product_barcode'.
- CVSS
- 6.4 MEDIUM
- EPSS
- 26.77%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- booster for woocommerce
Co wiadomo
Wtyczka Booster for WooCommerce dla WordPressa do wersji 7.1.6 włącznie jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez shortcode 'wcj_product_barcode'. Problem wynika z niewystarczającej sanitacji i ucieczki danych wejściowych, co pozwala uwierzytelnionym użytkownikom z uprawnieniami co najmniej na poziomie współpracownika na wstrzyknięcie złośliwych skryptów.
Wpływ biznesowy
Podatność umożliwia atakującym z uprawnieniami współpracownika lub wyższymi wstrzyknięcie i wykonanie złośliwego kodu JavaScript na stronach witryny, co może prowadzić do kradzieży sesji, manipulacji treścią lub innych działań szkodliwych dla użytkowników i właścicieli serwisu. Może to negatywnie wpłynąć na reputację firmy oraz bezpieczeństwo danych klientów.
Rekomendowane działania administratora
Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Booster for WooCommerce i ich wdrożenie. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do niezbędnego minimum, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie shortcode 'wcj_product_barcode'.