CVE-2024-12448: Stored XSS w wtyczce Posts and Products Views for WooCommerce

Co wiadomo

Wtyczka Posts and Products Views for WooCommerce do WordPressa jest podatna na atak typu Stored Cross-Site Scripting (XSS) poprzez shortcode 'papvfwc_views' we wszystkich wersjach do 2.1 włącznie. Luka wynika z niewystarczającej sanitacji i ucieczki danych wejściowych przekazywanych przez użytkownika, co umożliwia atakującym z uprawnieniami co najmniej współtwórcy wstrzyknięcie złośliwych skryptów.

Wpływ biznesowy

Atakujący z dostępem na poziomie współtwórcy lub wyższym mogą wstrzykiwać złośliwe skrypty, które wykonają się podczas odwiedzin zainfekowanych stron przez użytkowników. Może to prowadzić do kradzieży danych sesji, przejęcia kont użytkowników lub innych działań naruszających bezpieczeństwo witryny i jej użytkowników. Organizacje korzystające z tej wtyczki powinny traktować tę lukę jako istotne zagrożenie dla integralności i bezpieczeństwa swoich serwisów.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Posts and Products Views for WooCommerce i ich instalację. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do minimum, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie funkcji shortcode 'papvfwc_views'. Regularnie przeglądaj i aktualizuj wtyczki oraz stosuj zasady minimalizacji ryzyka w dostępie użytkowników.

Źródła

• NVD
• Reference
• Reference