CVE-2024-9895: podatność Stored XSS w wtyczce Smart Online Order for Clover

Co wiadomo

Wtyczka Smart Online Order for Clover dla WordPressa do wersji 1.5.7 włącznie zawiera podatność Stored Cross-Site Scripting (XSS) w shortcode moo_receipt_link, wynikającą z niewystarczającej sanitacji i escapingu danych wejściowych. Umożliwia to atakującym z uprawnieniami co najmniej współtwórcy wstrzyknięcie złośliwych skryptów, które wykonują się podczas odwiedzenia zainfekowanej strony.

Wpływ biznesowy

Podatność ta może prowadzić do wykonania złośliwego kodu w przeglądarce użytkownika, co zagraża bezpieczeństwu danych i integralności witryny. Atakujący mogą wykorzystać lukę do przejęcia sesji, kradzieży danych lub dalszej eskalacji uprawnień. Operatorzy stron korzystających z tej wtyczki powinni traktować tę lukę jako istotne zagrożenie dla bezpieczeństwa aplikacji webowej.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Smart Online Order for Clover i jej instalację. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do minimum, monitorować logi pod kątem podejrzanych działań oraz rozważyć tymczasowe wyłączenie funkcji shortcode moo_receipt_link. Regularne przeglądy bezpieczeństwa i stosowanie zasad sanitacji danych wejściowych są kluczowe.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference