CVE-2024-10837: Reflected Cross-Site Scripting w wtyczce WooCommerce Customize My Account

Co wiadomo

Wtyczka SysBasics Customize My Account dla WooCommerce w WordPress do wersji 2.7.29 jest podatna na atak Reflected Cross-Site Scripting (XSS) przez parametr 'tab'. Atakujący mogą wstrzyknąć złośliwy skrypt, który zostanie wykonany, jeśli użytkownik kliknie spreparowany link.

Wpływ biznesowy

Podatność umożliwia nieautoryzowanym osobom wykonanie złośliwego kodu w przeglądarce użytkownika, co może prowadzić do kradzieży sesji, przejęcia konta lub innych działań szkodliwych dla użytkowników i właścicieli serwisu. Może to wpłynąć na reputację firmy oraz bezpieczeństwo danych klientów.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki u dostawcy i ich wdrożenie. W przypadku braku łatki należy ograniczyć ekspozycję serwisu, monitorować logi pod kątem podejrzanych działań oraz edukować użytkowników o ryzyku kliknięcia nieznanych linków. Priorytetowo traktuj aktualizacje zabezpieczeń.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference