CVE-2024-5530: podatność Stored XSS w wtyczce ShopLentor dla WordPress

Co wiadomo

Wtyczka ShopLentor – WooCommerce Builder dla Elementor i Gutenberg (do wersji 2.9.0 włącznie) zawiera podatność typu Stored Cross-Site Scripting w widżecie WL: Product Horizontal Filter. Pozwala ona uwierzytelnionym użytkownikom z uprawnieniami co najmniej współtwórcy na wstrzyknięcie złośliwych skryptów, które wykonują się przy odwiedzeniu zaatakowanej strony.

Wpływ biznesowy

Podatność może prowadzić do przejęcia sesji użytkowników, defacementu stron lub innych działań złośliwych, co wpływa na bezpieczeństwo i reputację serwisu. Atakujący z odpowiednimi uprawnieniami mogą wykorzystać lukę do eskalacji ataków na infrastrukturę WordPress. Wdrożenie odpowiednich środków zabezpieczających jest kluczowe dla ochrony danych i ciągłości działania.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki ShopLentor i jej instalację. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do niezbędnego minimum, przeprowadzić przegląd logów pod kątem podejrzanej aktywności oraz monitorować system pod kątem nietypowych zachowań. Warto także rozważyć zastosowanie dodatkowych mechanizmów zabezpieczających przed XSS.

Źródła

• NVD
• Reference
• Reference
• Reference