Luka wtyczki Active Products Tables for WooCommerce umożliwia wykonanie dowolnych shortcode'ów

Co wiadomo

Wtyczka Active Products Tables for WooCommerce do WordPressa jest podatna na wykonanie dowolnych shortcode'ów przez niezalogowanych użytkowników za pośrednictwem akcji AJAX woot_get_smth. Luka występuje we wszystkich wersjach do 1.0.6.5 włącznie i wynika z braku odpowiedniej walidacji danych przed wywołaniem funkcji do_shortcode.

Wpływ biznesowy

Atakujący mogą wykorzystać tę lukę do wykonania dowolnych shortcode'ów, co może prowadzić do nieautoryzowanego działania na stronie, w tym potencjalnie do eskalacji uprawnień lub wstrzyknięcia złośliwego kodu. Właściciele sklepów WooCommerce powinni traktować tę podatność jako poważne zagrożenie dla integralności i bezpieczeństwa swojej platformy e-commerce.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki u jej dostawcy i zastosowanie najnowszej wersji. W międzyczasie warto ograniczyć dostęp do akcji AJAX woot_get_smth oraz monitorować logi serwera pod kątem podejrzanych wywołań. Priorytetowo należy ocenić ryzyko i wdrożyć odpowiednie środki minimalizujące ekspozycję.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference