CVE-2025-1363: podatność XSS w wtyczce URL Shortener | Conversion Tracking | AB Testing | WooCommerce dla WordPress

Co wiadomo

Wtyczka URL Shortener | Conversion Tracking | AB Testing | WooCommerce do wersji 9.0.2 nieprawidłowo oczyszcza i nie zabezpiecza niektórych ustawień, co może pozwolić użytkownikom o wysokich uprawnieniach, takim jak administratorzy, na przeprowadzenie ataków typu Stored Cross-Site Scripting nawet gdy opcja unfiltered_html jest wyłączona (np. w konfiguracji multisite).

Wpływ biznesowy

Podatność ta może umożliwić atakującym z uprawnieniami administratora wstrzyknięcie złośliwego kodu JavaScript, co może prowadzić do przejęcia sesji, manipulacji danymi lub innych działań szkodliwych dla witryny i jej użytkowników. W środowiskach multisite, gdzie unfiltered_html jest wyłączone, ryzyko jest nadal obecne, co zwiększa potencjalne zagrożenie dla bezpieczeństwa i integralności systemu.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki u dostawcy i ich wdrożenie. W międzyczasie warto ograniczyć uprawnienia użytkowników do niezbędnego minimum, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć zastosowanie dodatkowych mechanizmów zabezpieczających przed XSS. Regularna weryfikacja konfiguracji multisite i polityk bezpieczeństwa również jest wskazana.

Źródła

• NVD
• Reference