Уразливість Reflected XSS у плагіні Wishlist for WooCommerce PRO

Що відомо

Плагін Wishlist for WooCommerce: Multi Wishlists Per Customer PRO для WordPress версій 3.0.8–3.1.2 має уразливість Reflected Cross-Site Scripting через параметр 'wtab'. Це дозволяє неавторизованим зловмисникам впроваджувати шкідливі скрипти, які виконуються при взаємодії користувача з посиланням.

Бізнес-вплив

Уразливість може призвести до викрадення сесій користувачів, фішингових атак або виконання небажаних дій від імені користувача. Вона особливо актуальна для WordPress-сайтів з PHP версією 7.4 і нижче, що використовують цей плагін. Власники інфраструктури повинні врахувати ризики компрометації даних та репутації.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна від виробника та оновити до безпечної версії. Якщо оновлення недоступне, слід обмежити доступ до параметра 'wtab', зменшити експозицію сайту, переглянути журнали на предмет підозрілої активності та підвищити обізнаність користувачів щодо безпечної взаємодії з посиланнями.

Джерела

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference