Уразливість Reflected XSS у плагіні WordPress wp estore (CVE-2024-6072)

Що відомо

Плагін WordPress wp-cart-for-digital-products версій до 8.5.5 не екранує параметр $_SERVER['REQUEST_URI'] перед виводом у атрибут, що може призвести до відбитого міжсайтового скриптингу (Reflected XSS) у старих браузерах.

Бізнес-вплив

Ця уразливість може дозволити зловмисникам виконувати шкідливий скрипт у браузерах користувачів, що потенційно призведе до викрадення сесій або інших атак на користувачів сайту. Власники сайтів на базі WordPress із встановленим плагіном wp estore повинні врахувати ризики для безпеки та довіри користувачів.

Рекомендовані дії адміністратора

Рекомендується оновити плагін wp estore до версії 8.5.5 або новішої, де ця уразливість виправлена. Якщо оновлення неможливе, слід обмежити доступ до вразливих функцій, перевірити журнали на ознаки експлуатації та застосувати загальні заходи з безпеки веб-додатків, такі як фільтрація вхідних даних і використання сучасних браузерів.

Джерела

• NVD
• Reference