CVE-2024-6076: podatność Reflected XSS w wtyczce wp estore dla WordPress

Co wiadomo

Wtyczka wp-cart-for-digital-products (wp estore) w wersjach przed 8.5.5 nie sanitizuje i nie ucieka poprawnie parametru przed jego wyświetleniem na stronie, co umożliwia atak Reflected Cross-Site Scripting (XSS). Atak ten może być wykorzystany przeciwko użytkownikom o wysokich uprawnieniach, takim jak administratorzy.

Wpływ biznesowy

Podatność może pozwolić atakującym na wykonanie złośliwego kodu w kontekście przeglądarki administratora, co może prowadzić do przejęcia sesji, zmiany ustawień lub innych działań z uprawnieniami administratora. W środowiskach korzystających z tej wtyczki istnieje ryzyko naruszenia integralności i bezpieczeństwa systemu CMS oraz danych.

Rekomendowane działania administratora

Zaleca się jak najszybszą aktualizację wtyczki wp estore do wersji 8.5.5 lub nowszej udostępnionej przez tipsandtricks-hq. W przypadku braku możliwości natychmiastowej aktualizacji, ogranicz dostęp do panelu administracyjnego oraz monitoruj logi pod kątem podejrzanych aktywności. Przeprowadź przegląd i weryfikację uprawnień użytkowników oraz rozważ wdrożenie dodatkowych mechanizmów ochrony przed XSS.

Źródła

• NVD
• Reference