Wrażliwość Stored XSS w wtyczce WPC Smart Messages dla WooCommerce

Co wiadomo

Wtyczka WPC Smart Messages dla WooCommerce w WordPressie jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez atrybut 'text' shortcode'u wpcsm_text_rotator w wersjach do 4.2.8 włącznie. Atakujący z uprawnieniami co najmniej współtwórcy mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzin strony przez użytkowników.

Wpływ biznesowy

Podatność umożliwia atakującym z dostępem na poziomie współtwórcy lub wyższym wstrzyknięcie złośliwego kodu JavaScript, co może prowadzić do kradzieży danych sesji, manipulacji zawartością strony lub innych działań szkodliwych dla użytkowników i reputacji firmy. Może to wpłynąć na bezpieczeństwo witryny oraz zaufanie klientów korzystających z platformy WooCommerce.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki WPC Smart Messages i jej instalację, jeśli jest dostępna. W przypadku braku łatki należy ograniczyć dostęp użytkowników do poziomu niepozwalającego na edycję atrybutów shortcode, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie funkcji wpcsm_text_rotator.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference