CVE-2024-11140: podatność XSS w wtyczce Real WP Shop Lite Ajax eCommerce Shopping Cart

Co wiadomo

Wtyczka Real WP Shop Lite Ajax eCommerce Shopping Cart do WordPressa w wersji do 2.0.8 nie sanitizuje i nie ucieka poprawnie niektórych ustawień, co może pozwolić użytkownikom z wysokimi uprawnieniami, np. administratorom, na przeprowadzenie ataków typu Stored Cross-Site Scripting, nawet gdy zdolność unfiltered_html jest wyłączona (np. w konfiguracji multisite).

Wpływ biznesowy

Podatność ta może umożliwić atakującym z uprawnieniami administratora wstrzyknięcie złośliwego kodu JavaScript, co może prowadzić do przejęcia sesji, manipulacji danymi lub innych działań szkodliwych dla użytkowników i administratorów serwisu. W środowiskach multisite, gdzie unfiltered_html jest wyłączone, ryzyko jest nadal obecne, co utrudnia ochronę przed tego typu atakami.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki u jej dostawcy i ich wdrożenie. W międzyczasie warto ograniczyć uprawnienia użytkowników do minimum niezbędnego do działania oraz monitorować logi pod kątem podejrzanych działań. Dodatkowo, przegląd konfiguracji multisite i polityk bezpieczeństwa może pomóc w ograniczeniu potencjalnych skutków podatności.

Źródła

• NVD
• Reference