CVE-2024-13708: podatność Stored XSS w Booster for WooCommerce

Co wiadomo

Wtyczka Booster for WooCommerce dla WordPress w wersjach 4.0.1 do 7.2.4 jest podatna na atak Stored Cross-Site Scripting poprzez przesyłanie plików SVG. Brak odpowiedniej sanitizacji i escapingu danych pozwala nieautoryzowanym atakującym na wstrzyknięcie złośliwych skryptów, które wykonują się przy dostępie do pliku SVG.

Wpływ biznesowy

Podatność ta może prowadzić do przejęcia sesji użytkowników, kradzieży danych lub innych działań szkodliwych poprzez wykonanie złośliwego kodu w przeglądarce. Może to wpłynąć na reputację firmy oraz bezpieczeństwo danych klientów korzystających z WooCommerce. Operatorzy powinni traktować tę lukę jako wysokiego ryzyka i podjąć odpowiednie działania zabezpieczające.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Booster for WooCommerce u dostawcy oraz ich wdrożenie. W międzyczasie warto ograniczyć możliwość przesyłania plików SVG lub monitorować logi pod kątem podejrzanych aktywności związanych z tymi plikami. Priorytetem jest minimalizacja ekspozycji i szybka reakcja na potencjalne incydenty.

Źródła

• NVD
• Reference
• Reference