CVE-2024-11369: Reflected XSS w wtyczce Store credit / Gift cards dla WooCommerce

Co wiadomo

Wtyczka Store credit / Gift cards dla WooCommerce w WordPress ma lukę Reflected Cross-Site Scripting (XSS) w parametrach 'coupon', 'start_date' i 'end_date' w wersjach do 1.0.49.46 włącznie. Luka wynika z niewystarczającej sanitacji i escapingu danych wejściowych, co umożliwia atakującym wstrzyknięcie złośliwych skryptów.

Wpływ biznesowy

Atakujący bez uwierzytelnienia mogą wykorzystać tę lukę do wstrzyknięcia i wykonania złośliwych skryptów w przeglądarce użytkownika, co może prowadzić do kradzieży danych sesji, manipulacji zawartością strony lub innych działań szkodliwych dla użytkowników i reputacji firmy. Właściciele stron korzystających z tej wtyczki powinni potraktować tę lukę jako istotne zagrożenie dla bezpieczeństwa aplikacji webowej.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Store credit / Gift cards i ich instalację. W przypadku braku łatki należy ograniczyć ekspozycję parametrów podatnych na XSS, monitorować logi pod kątem podejrzanych aktywności oraz edukować użytkowników w zakresie unikania podejrzanych linków. Priorytetowo traktuj ocenę ryzyka i wdrożenie środków zapobiegawczych.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference