CVE-2024-5669: XPlainer WooCommerce Product FAQ narażony na modyfikację danych i XSS

Co wiadomo

Wtyczka XPlainer – WooCommerce Product FAQ dla WordPress do wersji 1.7.0 ma lukę umożliwiającą nieautoryzowaną modyfikację danych przez brak weryfikacji uprawnień w funkcji 'ffw_activate_template'. Atakujący z poziomem subskrybenta lub wyższym mogą wstrzykiwać skrypty XSS, które uruchamiają się podczas przeglądania szablonów panelu lub FAQ.

Wpływ biznesowy

Luka pozwala na przeprowadzenie ataków cross-site scripting przez użytkowników z niskimi uprawnieniami, co może prowadzić do kradzieży sesji, manipulacji danymi lub innych działań szkodliwych dla administratorów i użytkowników. Może to wpłynąć na bezpieczeństwo i integralność środowiska WordPress oraz zaufanie użytkowników.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki u dostawcy oraz jej instalację. W międzyczasie ogranicz dostęp do panelu administracyjnego tylko do zaufanych użytkowników, monitoruj logi pod kątem podejrzanych działań i rozważ zastosowanie dodatkowych mechanizmów ochrony przed XSS. Priorytetowo traktuj audyt uprawnień użytkowników i ogranicz ich do niezbędnego minimum.

Źródła

• NVD
• Reference
• Reference
• Reference