Уразливість Stored XSS у плагіні EAN for WooCommerce для WordPress

Що відомо

Плагін EAN for WooCommerce для WordPress має уразливість збереженого міжсайтового скриптингу (Stored XSS) через shortcode 'alg_wc_ean_product_meta' у версіях до 4.8.7 включно. Це дозволяє автентифікованим користувачам з рівнем доступу не нижче контриб'ютора впроваджувати шкідливі скрипти, які виконуються при перегляді сторінок.

Бізнес-вплив

Уразливість може призвести до виконання довільних скриптів у браузерах користувачів, що може спричинити викрадення сесій, зміну контенту або інші атаки, що впливають на безпеку вебсайту. Власники сайтів на WordPress, які використовують цей плагін, ризикують компрометацією даних та зниженням довіри користувачів.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна від розробника та застосувати їх при наявності. Якщо оновлення недоступні, слід обмежити доступ користувачів з рівнем контриб'ютора і вище, провести аудит логів на предмет підозрілої активності та зменшити експозицію вразливих сторінок. Важливо також регулярно моніторити безпекові оновлення плагіна.

Джерела

• NVD
• Reference
• Reference