Уразливість у плагіні Custom WooCommerce Checkout Fields Editor дозволяє зберігати шкідливі скрипти

Що відомо

Плагін Custom WooCommerce Checkout Fields Editor для WordPress містить уразливість збереженого міжсайтового скриптингу (Stored XSS) через недостатню санітизацію введених даних у функції save_wcfe_options. Аутентифіковані користувачі з рівнем доступу не нижче підписника можуть впроваджувати довільні веб-скрипти, які виконуватимуться при перегляді заражених сторінок.

Бізнес-вплив

Ця уразливість може призвести до компрометації облікових записів користувачів, викрадення сесій або поширення шкідливого коду серед відвідувачів сайту. Власники інфраструктури, що використовують цей плагін, ризикують порушенням безпеки та довіри користувачів, що може вплинути на репутацію та функціональність їхніх вебресурсів.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна від розробника та застосувати їх при наявності. Якщо оновлення недоступні, слід обмежити доступ користувачів з рівнем підписника та вище, провести аудит журналів безпеки на предмет підозрілої активності і розглянути тимчасове відключення плагіна для зменшення ризику.

Джерела

• NVD
• Reference
• Reference
• Reference