CVE-2024-3964: podatność XSS w wtyczce Product Enquiry for WooCommerce

Co wiadomo

Wtyczka Product Enquiry for WooCommerce w wersjach przed 3.1.8 nieprawidłowo oczyszcza i zabezpiecza niektóre ustawienia, co umożliwia użytkownikom z wysokimi uprawnieniami, np. administratorom, przeprowadzenie ataków typu Stored Cross-Site Scripting, nawet gdy zdolność unfiltered_html jest wyłączona, np. w konfiguracji multisite.

Wpływ biznesowy

Podatność ta może prowadzić do wykonania złośliwego kodu w przeglądarce administratora, co zagraża integralności i bezpieczeństwu witryny WordPress opartej na WooCommerce. Atakujący mogą wykorzystać lukę do przejęcia sesji, manipulacji danymi lub eskalacji uprawnień, co wpływa na stabilność i zaufanie do platformy e-commerce.

Rekomendowane działania administratora

Zaleca się jak najszybszą aktualizację wtyczki Product Enquiry for WooCommerce do wersji 3.1.8 lub nowszej udostępnionej przez producenta. W przypadku braku możliwości natychmiastowej aktualizacji, warto ograniczyć dostęp do panelu administracyjnego oraz monitorować logi pod kątem podejrzanych działań. Dodatkowo należy przeglądać i weryfikować uprawnienia użytkowników oraz stosować zasady minimalnych uprawnień.

Źródła

• NVD
• Reference