CVE-2024-4608: podatność Stored Cross-Site Scripting w wtyczce SellKit dla WooCommerce

Co wiadomo

Wtyczka SellKit – Funnel builder and checkout optimizer dla WooCommerce do wersji 1.9.8 włącznie zawiera podatność typu Stored Cross-Site Scripting (XSS) poprzez parametr 'id'. Problem wynika z niewystarczającej sanitacji danych wejściowych i ucieczki znaków wyjściowych, co pozwala na wstrzyknięcie złośliwych skryptów przez użytkowników z uprawnieniami co najmniej na poziomie współtwórcy.

Wpływ biznesowy

Podatność umożliwia atakującym z uprawnieniami współtwórcy lub wyższymi wstrzyknięcie i wykonanie złośliwych skryptów w kontekście przeglądarki innych użytkowników odwiedzających zainfekowane strony. Może to prowadzić do kradzieży danych sesji, manipulacji zawartością strony lub innych działań szkodliwych dla użytkowników i reputacji firmy. Operatorzy IT powinni zwrócić uwagę na potencjalne ryzyko związane z dostępem użytkowników do panelu administracyjnego i kontrolować uprawnienia.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki SellKit u dostawcy oraz ich wdrożenie. W międzyczasie ogranicz dostęp do panelu administracyjnego tylko do zaufanych użytkowników oraz przeprowadź przegląd logów pod kątem podejrzanych aktywności. Warto również rozważyć dodatkowe mechanizmy filtrowania i walidacji danych wejściowych oraz monitorowanie zachowań użytkowników z uprawnieniami współtwórcy i wyższymi.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference