Luka XSS w wtyczce Customily Product Personalizer dla WordPress

Co wiadomo

Wtyczka Customily Product Personalizer dla WordPress do wersji 1.23.3 włącznie jest podatna na przechowywany atak Cross-Site Scripting (XSS) poprzez ciasteczka użytkownika z powodu niewystarczającej sanitacji danych wejściowych i ucieczki danych wyjściowych. Atakujący bez uwierzytelnienia mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzania zainfekowanej strony.

Wpływ biznesowy

Ta luka może umożliwić atakującym kradzież sesji, przejęcie kont użytkowników lub wykonanie nieautoryzowanych działań w kontekście przeglądarki ofiary, co zagraża bezpieczeństwu witryny i danych klientów. Operatorzy stron korzystających z tej wtyczki powinni traktować tę podatność jako wysokiego ryzyka i podjąć działania minimalizujące ekspozycję.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki u dostawcy oraz jej instalację. W przypadku braku oficjalnej poprawki należy ograniczyć ekspozycję wtyczki, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie wtyczki do czasu usunięcia podatności.

Źródła

• NVD
• Reference
• Reference