CVE-2024-5039: podatność Stored XSS w wtyczce Husky - Products Filter Professional dla WooCommerce

Co wiadomo

Wtyczka Husky - Products Filter Professional dla WooCommerce w wersjach do 1.3.5.3 włącznie jest podatna na atak typu Stored Cross-Site Scripting (XSS) poprzez shortcode'y, wynikający z niewystarczającej sanitacji i escapingu danych wejściowych. Atakujący z uprawnieniami co najmniej na poziomie współtwórcy mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzin zainfekowanych stron.

Wpływ biznesowy

Podatność umożliwia atakującym z uprawnieniami współtwórcy lub wyższymi wstrzyknięcie złośliwego kodu JavaScript, co może prowadzić do przejęcia sesji użytkowników, kradzieży danych lub innych działań szkodliwych dla użytkowników i właścicieli sklepów WooCommerce. Może to wpłynąć na reputację firmy oraz bezpieczeństwo klientów korzystających ze sklepu internetowego.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki u dostawcy oraz jej wdrożenie. W międzyczasie warto ograniczyć uprawnienia użytkowników do niezbędnego minimum, przejrzeć logi pod kątem podejrzanych działań oraz rozważyć zastosowanie dodatkowych mechanizmów zabezpieczających przed XSS. Priorytetem jest szybkie załatanie podatności lub ograniczenie jej wpływu.

Źródła

• NVD
• Reference
• Reference
• Reference