CVE-2024-9178: podatność Stored XSS w wtyczce XT Floating Cart dla WooCommerce

Co wiadomo

Wtyczka XT Floating Cart dla WooCommerce w WordPressie jest podatna na atak Stored Cross-Site Scripting poprzez przesyłanie plików SVG w wersjach do 2.8.2 włącznie. Atakujący z uprawnieniami autora lub wyższymi mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas dostępu do pliku SVG.

Wpływ biznesowy

Podatność umożliwia uwierzytelnionym użytkownikom z uprawnieniami autora lub wyższymi wstrzyknięcie złośliwego kodu, co może prowadzić do przejęcia sesji, defraudacji danych lub innych działań szkodliwych dla użytkowników i administratorów serwisu. Może to wpłynąć na reputację firmy oraz bezpieczeństwo danych klientów korzystających ze sklepu WooCommerce.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki XT Floating Cart i jej wdrożenie. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do niezbędnego minimum, monitorować logi pod kątem podejrzanych aktywności oraz rozważyć blokowanie przesyłania plików SVG. Regularne przeglądy bezpieczeństwa i audyty konfiguracji są wskazane.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference