CVE-2024-8271: Luka w wtyczce FOX – Currency Switcher Professional dla WooCommerce

Co wiadomo

Wtyczka FOX – Currency Switcher Professional dla WooCommerce w wersjach do 1.4.2.1 umożliwia nieautoryzowanym użytkownikom wykonanie dowolnych shortcode'ów poprzez niewłaściwą walidację danych w funkcji woocs_get_custom_price_html. Luka ta pozwala na zdalne wykonanie kodu w kontekście WordPress.

Wpływ biznesowy

Atakujący bez uwierzytelnienia mogą wykorzystać tę lukę do wykonania dowolnych shortcode'ów, co może prowadzić do eskalacji uprawnień, manipulacji treścią lub innych działań zagrażających integralności i bezpieczeństwu sklepu internetowego. Może to skutkować utratą danych, obniżeniem zaufania klientów oraz potencjalnymi stratami finansowymi.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki u dostawcy oraz jej instalację. W międzyczasie warto ograniczyć dostęp do funkcji wtyczki, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie wtyczki, jeśli to możliwe. Priorytetowo traktuj ocenę ryzyka i wdrożenie poprawek.

Źródła

• NVD
• Reference
• Reference
• Reference