CVE-2024-12435: Reflected Cross-Site Scripting w wtyczce Compare Products for WooCommerce

Co wiadomo

Wtyczka Compare Products for WooCommerce do WordPressa jest podatna na atak Reflected Cross-Site Scripting (XSS) poprzez parametr 's_feature' w wersjach do 3.2.1 włącznie. Luka wynika z niewystarczającej sanitacji danych wejściowych i braku odpowiedniego zabezpieczenia wyjścia, co pozwala atakującym na wstrzyknięcie złośliwych skryptów.

Wpływ biznesowy

Atakujący mogą wykorzystać tę podatność do wykonania złośliwych skryptów w przeglądarce użytkownika, co może prowadzić do kradzieży danych sesji, przejęcia konta lub innych działań szkodliwych dla użytkowników i właścicieli witryn. Może to negatywnie wpłynąć na reputację firmy oraz bezpieczeństwo danych klientów.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Compare Products for WooCommerce i ich wdrożenie. W przypadku braku łatki, ogranicz ekspozycję podatnego parametru, monitoruj logi pod kątem podejrzanych działań oraz edukuj użytkowników o ryzyku kliknięcia nieznanych linków. Priorytetyzuj działania zabezpieczające w środowiskach WordPress korzystających z tej wtyczki.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference