Luka XSS w wtyczce ShopBuilder dla WordPress przed wersją 3.2.2

Co wiadomo

Wtyczka ShopBuilder dla WordPress w wersjach przed 3.2.2 nie sanitizuje i nie ucieka parametrów przed ich wyświetleniem, co prowadzi do podatności typu Reflected Cross-Site Scripting (XSS). Atakujący mogą wykorzystać tę lukę przeciwko użytkownikom o wysokich uprawnieniach, takim jak administratorzy.

Wpływ biznesowy

Podatność XSS może umożliwić atakującym wykonanie złośliwego kodu w kontekście przeglądarki administratora, co może prowadzić do przejęcia sesji, zmiany ustawień witryny lub innych działań szkodliwych dla integralności i bezpieczeństwa strony. Właściciele stron korzystających z tej wtyczki powinni traktować tę lukę jako istotne zagrożenie dla bezpieczeństwa CMS.

Rekomendowane działania administratora

Zaleca się jak najszybszą aktualizację wtyczki ShopBuilder do wersji 3.2.2 lub nowszej, w której luka została załatana. W przypadku braku możliwości natychmiastowej aktualizacji, warto ograniczyć dostęp do panelu administracyjnego oraz monitorować logi pod kątem podejrzanych aktywności. Należy również przeglądać i stosować zalecenia producenta dotyczące bezpieczeństwa.

Źródła

• NVD
• Reference