Уразливість Stored XSS у плагіні SMS Alert Order Notifications для WooCommerce

Що відомо

Плагін SMS Alert Order Notifications для WooCommerce має уразливість збереженого міжсайтового скриптингу (Stored XSS) через недостатню санітизацію та екранування введених користувачем атрибутів у шорткоді sa_subscribe. Це дозволяє автентифікованим користувачам з рівнем доступу не нижче контриб’ютора впроваджувати шкідливі скрипти, які виконуються при перегляді сторінок.

Бізнес-вплив

Уразливість може призвести до виконання довільних скриптів у браузерах користувачів сайту, що загрожує компрометацією сесій, викраденням даних або іншими атаками через браузер. Власники сайтів на WordPress із цим плагіном повинні врахувати ризики для безпеки та довіри користувачів, особливо якщо на сайті є кілька користувачів із правами контриб’ютора і вище.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна від виробника cozyvision і встановити їх при наявності. Якщо оновлення недоступні, слід обмежити права користувачів, провести аудит введених даних, зменшити експозицію плагіна, а також моніторити журнали безпеки на предмет підозрілої активності.

Джерела

• NVD
• Reference
• Reference
• Reference