CVE-2025-2929: podatność XSS w wtyczce Order Delivery Date dla WooCommerce

Co wiadomo

Wtyczka Order Delivery Date dla WooCommerce w wersjach przed 12.4.0 nie sanitizuje i nie zabezpiecza odpowiednio parametru przed wyświetleniem na stronie, co prowadzi do podatności typu Reflected Cross-Site Scripting (XSS). Atakujący mogą wykorzystać tę lukę przeciwko użytkownikom o wysokich uprawnieniach, takim jak administratorzy.

Wpływ biznesowy

Podatność XSS może umożliwić atakującym wykonanie złośliwego kodu w kontekście przeglądarki administratora, co może prowadzić do przejęcia sesji, modyfikacji ustawień sklepu lub innych działań z uprawnieniami administratora. Właściciele sklepów WooCommerce powinni traktować tę lukę jako poważne zagrożenie dla bezpieczeństwa i integralności swoich systemów.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Order Delivery Date i jej instalację do wersji 12.4.0 lub nowszej. W przypadku braku możliwości natychmiastowej aktualizacji, warto ograniczyć dostęp do panelu administracyjnego oraz monitorować logi pod kątem podejrzanych działań. Ponadto, należy przeprowadzić przegląd i wzmocnienie polityk bezpieczeństwa oraz edukować użytkowników o potencjalnych zagrożeniach XSS.

Źródła

• NVD
• Reference