CVE-2024-9205: podatność Reflected Cross-Site Scripting w wtyczce Maximum Products per User for WooCommerce

Co wiadomo

Wtyczka Maximum Products per User for WooCommerce dla WordPressa jest podatna na atak Reflected Cross-Site Scripting (XSS) z powodu niewłaściwego zabezpieczenia funkcji add_query_arg w wersjach do 4.2.8 włącznie. Atakujący może w ten sposób wstrzyknąć złośliwy skrypt, który wykona się po nakłonieniu użytkownika do kliknięcia w spreparowany link.

Wpływ biznesowy

Podatność ta może umożliwić nieautoryzowanym osobom wykonanie złośliwego kodu w przeglądarce użytkownika, co może prowadzić do kradzieży danych sesji, przejęcia konta lub innych działań szkodliwych dla użytkowników i właścicieli sklepów WooCommerce. Zagrożenie jest szczególnie istotne dla sklepów internetowych korzystających z tej wtyczki, które mogą utracić zaufanie klientów i ponieść straty finansowe.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki u dostawcy oraz jej instalację. W międzyczasie warto ograniczyć ekspozycję wtyczki, monitorować logi pod kątem podejrzanych działań i edukować użytkowników, aby nie klikali w podejrzane linki. Priorytetem jest szybkie wdrożenie poprawek bezpieczeństwa udostępnionych przez producenta.

Źródła

• NVD
• Reference
• Reference
• Reference