WPC Smart Quick View dla WooCommerce podatny na Stored XSS w shortcode woosq_btn

Co wiadomo

Wtyczka WPC Smart Quick View dla WooCommerce w WordPressie do wersji 4.2.1 jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez shortcode woosq_btn. Atakujący z uprawnieniami co najmniej współtwórcy mogą wstrzykiwać złośliwe skrypty, które wykonują się przy odwiedzeniu zainfekowanej strony.

Wpływ biznesowy

Podatność umożliwia atakującym z dostępem na poziomie współtwórcy lub wyższym wstrzyknięcie i wykonanie złośliwego kodu JavaScript na stronach serwisu. Może to prowadzić do przejęcia sesji użytkowników, kradzieży danych lub innych działań naruszających bezpieczeństwo witryny i jej użytkowników. Wpływa to negatywnie na zaufanie klientów oraz stabilność i bezpieczeństwo infrastruktury IT.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki WPC Smart Quick View i jej instalację po wydaniu poprawki. Do czasu aktualizacji warto ograniczyć uprawnienia użytkowników do niezbędnego minimum oraz monitorować logi serwera pod kątem podejrzanych działań. Przegląd i oczyszczenie istniejących treści pod kątem złośliwych skryptów również jest wskazane.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference