Уразливість Stored XSS у плагіні Product Enquiry для WooCommerce

Що відомо

Плагін Product Enquiry для WooCommerce версій до 3.1.8 не очищує налаштування, що дозволяє адміністраторам виконувати атаки типу Stored Cross-Site Scripting навіть без права unfiltered_html. Це створює ризик впровадження шкідливого коду у багатосайтових установках WordPress.

Бізнес-вплив

Уразливість може бути використана адміністраторами для впровадження шкідливого скрипту, що може призвести до компрометації даних або порушення роботи сайту. Це особливо критично для організацій, які використовують багатосайтові конфігурації WordPress, де обмеження unfiltered_html не захищають від атак.

Рекомендовані дії адміністратора

Рекомендується оновити плагін Product Enquiry для WooCommerce до версії 3.1.8 або новішої. Якщо оновлення неможливе, слід обмежити права користувачів з високими привілеями, перевірити журнали на наявність підозрілої активності та мінімізувати експозицію плагіну. Також варто регулярно переглядати оновлення від розробника.

Джерела

• NVD
• Reference