CVE-2024-13461: podatność Stored XSS w wtyczce Autoship Cloud dla WooCommerce

Co wiadomo

Wtyczka Autoship Cloud dla WooCommerce Subscription Products w WordPress zawiera podatność typu Stored Cross-Site Scripting (XSS) w shortcode 'autoship-create-scheduled-order-action' we wszystkich wersjach do 2.8.0 włącznie. Problem wynika z niewystarczającej sanitacji i ucieczki danych wejściowych przekazywanych przez użytkownika, co pozwala na wstrzyknięcie złośliwych skryptów przez użytkowników z uprawnieniami co najmniej na poziomie współtwórcy.

Wpływ biznesowy

Podatność umożliwia uwierzytelnionym atakującym wstrzyknięcie i wykonanie złośliwego kodu JavaScript na stronach serwisu, co może prowadzić do przejęcia sesji, manipulacji zawartością strony lub innych działań szkodliwych dla użytkowników i administratorów. W środowiskach biznesowych może to skutkować utratą zaufania klientów oraz naruszeniem bezpieczeństwa danych.

Rekomendowane działania administratora

Administratorzy powinni niezwłocznie sprawdzić dostępność aktualizacji wtyczki Autoship Cloud i zastosować najnowszą wersję dostarczoną przez producenta. W przypadku braku możliwości natychmiastowej aktualizacji zaleca się ograniczenie dostępu użytkowników do poziomu niższego niż współtwórca oraz monitorowanie logów pod kątem podejrzanych działań. Warto również przeprowadzić przegląd i wzmocnienie polityk bezpieczeństwa dotyczących wprowadzania i wyświetlania danych użytkowników.

Źródła

• NVD
• Reference
• Reference