Luka w WooCommerce Thank You Page Customizer umożliwia nieautoryzowane wykonanie shortcode'ów

Co wiadomo

Wtyczka Thank You Page Customizer for WooCommerce – Increase Your Sales dla WordPressa posiada lukę pozwalającą na wykonanie dowolnych shortcode'ów bez odpowiednich uprawnień. Luka dotyczy funkcji get_text_editor_content() we wszystkich wersjach do 1.1.2 włącznie, umożliwiając atakującym z uprawnieniami subskrybenta lub wyższymi wykonanie nieautoryzowanych działań.

Wpływ biznesowy

Atakujący z poziomem dostępu subskrybenta lub wyższym mogą wykorzystać tę lukę do wykonania dowolnych shortcode'ów, co może prowadzić do nieautoryzowanych zmian na stronie lub uruchomienia złośliwego kodu. Może to wpłynąć na integralność i bezpieczeństwo witryny, a także na doświadczenie użytkowników i reputację firmy.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki od dostawcy villatheme i ich wdrożenie. W przypadku braku łatki należy ograniczyć dostęp użytkowników do poziomu subskrybenta oraz monitorować logi pod kątem podejrzanej aktywności. Dodatkowo warto przeprowadzić przegląd uprawnień użytkowników i ograniczyć możliwość wykonywania shortcode'ów do zaufanych ról.

Źródła

• NVD
• Reference
• Reference