Luka XSS w wtyczce WooCommerce Cart Count Shortcode dla WordPress

Co wiadomo

Wtyczka WooCommerce Cart Count Shortcode do WordPressa jest podatna na przechowywany atak Cross-Site Scripting (XSS) poprzez shortcode 'cart_button' w wersjach do 1.0.4 włącznie. Luka wynika z niewystarczającej sanitacji i escapingu danych wejściowych użytkownika, co pozwala na wstrzyknięcie złośliwych skryptów przez użytkowników z uprawnieniami co najmniej na poziomie współtwórcy.

Wpływ biznesowy

Atakujący z uprawnieniami współtwórcy lub wyższymi mogą wstrzykiwać złośliwe skrypty, które wykonają się na stronach odwiedzanych przez innych użytkowników, co może prowadzić do kradzieży danych sesji, manipulacji zawartością strony lub innych działań szkodliwych dla użytkowników i reputacji firmy. Wdrożenie tej wtyczki bez aktualizacji zwiększa ryzyko naruszeń bezpieczeństwa i utraty zaufania klientów.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki WooCommerce Cart Count Shortcode i ich wdrożenie. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do niezbędnego minimum, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie wtyczki. Dodatkowo warto przeprowadzić audyt bezpieczeństwa stron korzystających z tej wtyczki.

Źródła

• NVD
• Reference
• Reference