CVE-2024-2752: Stored Cross-Site Scripting w wtyczce WooCommerce 'Where Did You Hear About Us Checkout Field'

Co wiadomo

Wtyczka 'Where Did You Hear About Us Checkout Field' dla WooCommerce do wersji 1.3.1 jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez metadane zamówienia z powodu niewystarczającej sanitacji i eskapowania danych wejściowych. Atakujący z uprawnieniami menedżera sklepu lub wyższymi mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas przeglądania zainfekowanych stron.

Wpływ biznesowy

Podatność umożliwia atakującym z uprawnieniami menedżera sklepu wykonanie złośliwego kodu w kontekście przeglądarki użytkownika, co może prowadzić do kradzieży danych sesji, manipulacji zawartością strony lub innych działań szkodliwych dla użytkowników i reputacji sklepu. Wpływa to na bezpieczeństwo i integralność środowiska e-commerce opartego na WordPress i WooCommerce.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki u dostawcy oraz jej instalację. W międzyczasie ogranicz dostęp do panelu administracyjnego tylko do zaufanych użytkowników oraz monitoruj logi pod kątem podejrzanej aktywności. Warto także rozważyć przegląd i oczyszczenie istniejących danych zamówień pod kątem potencjalnych wstrzyknięć skryptów.

Źródła

• NVD
• Reference
• Reference
• Reference