CVE-2024-12589: Luka Stored DOM-Based Cross-Site Scripting w wtyczce Finale Lite dla WooCommerce

Co wiadomo

Wtyczka Finale Lite – Sales Countdown Timer & Discount dla WooCommerce w WordPressie jest podatna na Stored DOM-Based Cross-Site Scripting (XSS) w wersjach do 2.19.0 włącznie. Luka wynika z niewystarczającej sanitacji danych wejściowych i braku odpowiedniego escapingu wyjścia, co pozwala na wstrzyknięcie złośliwych skryptów przez użytkowników z uprawnieniami co najmniej na poziomie Współpracownika.

Wpływ biznesowy

Podatność umożliwia atakującym z uprawnieniami współpracownika lub wyższymi wstrzyknięcie i wykonanie złośliwych skryptów w kontekście przeglądarki innych użytkowników odwiedzających zainfekowane strony. Może to prowadzić do kradzieży sesji, manipulacji zawartością strony lub innych działań naruszających bezpieczeństwo i integralność witryny, co stanowi ryzyko dla właścicieli infrastruktury i operatorów IT.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Finale Lite i ich wdrożenie. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do minimum, szczególnie poziomu Współpracownika i wyżej, oraz monitorować logi pod kątem podejrzanych działań. Dodatkowo warto przeprowadzić przegląd i wzmocnienie mechanizmów sanitacji danych wejściowych oraz escapingu wyjścia w środowisku WordPress.

Źródła

• NVD
• Reference
• Reference