CVE-2024-13398: Stored XSS w wtyczce Checkout for PayPal dla WordPress

Co wiadomo

Wtyczka Checkout for PayPal dla WordPress do wersji 1.0.32 jest podatna na przechowywany atak Cross-Site Scripting (XSS) poprzez shortcode 'checkout_for_paypal' z powodu niewystarczającej sanitacji i ucieczki danych wejściowych. Atakujący z uprawnieniami współautora lub wyższymi mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzin zainfekowanej strony.

Wpływ biznesowy

Podatność umożliwia autoryzowanym użytkownikom z dostępem na poziomie współautora lub wyższym wstrzyknięcie złośliwego kodu, co może prowadzić do kradzieży sesji, manipulacji treścią strony lub innych działań szkodliwych dla użytkowników i reputacji firmy. W środowiskach z wieloma użytkownikami i edycją treści ryzyko eskalacji incydentu jest istotne.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki u dostawcy i ich wdrożenie. W międzyczasie ogranicz uprawnienia użytkowników do minimum niezbędnego do pracy, monitoruj logi pod kątem podejrzanych działań oraz rozważ zastosowanie mechanizmów zapobiegających XSS na poziomie serwera lub aplikacji.

Źródła

• NVD
• Reference
• Reference