CVE-2024-8872: podatność Reflected Cross-Site Scripting w wtyczce Store Hours for WooCommerce

Co wiadomo

Wtyczka Store Hours for WooCommerce dla WordPressa jest podatna na atak Reflected Cross-Site Scripting (XSS) z powodu niewłaściwego zabezpieczenia funkcji add_query_arg w wersjach do 4.3.20 włącznie. Atakujący może wstrzyknąć złośliwy skrypt, który wykona się po nakłonieniu użytkownika do kliknięcia w spreparowany link.

Wpływ biznesowy

Podatność ta może prowadzić do kradzieży sesji użytkownika, przejęcia konta lub innych działań wykonywanych w kontekście zalogowanego użytkownika, co stanowi zagrożenie dla bezpieczeństwa witryny i danych. Administratorzy stron korzystających z tej wtyczki powinni potraktować tę lukę jako istotną i podjąć działania w celu jej załatania lub ograniczenia ryzyka.

Rekomendowane działania administratora

Zaleca się jak najszybszą aktualizację wtyczki Store Hours for WooCommerce do najnowszej dostępnej wersji, w której luka została załatana. Jeśli aktualizacja nie jest możliwa, należy ograniczyć ekspozycję wtyczki, monitorować logi pod kątem podejrzanych aktywności oraz edukować użytkowników, aby nie klikali w podejrzane linki. Regularne przeglądy bezpieczeństwa i stosowanie zasad minimalnych uprawnień również pomogą ograniczyć ryzyko.

Źródła

• NVD
• Reference
• Reference
• Reference