Уразливість Stored XSS у плагіні Smart Online Order for Clover для WordPress

Що відомо

Плагін Smart Online Order for Clover для WordPress містить уразливість типу Stored Cross-Site Scripting (XSS) через недостатню санітизацію та екранування введених користувачем атрибутів у шорткоді moo_receipt_link. Це дозволяє автентифікованим користувачам з рівнем доступу не нижче контриб'ютора впроваджувати довільні скрипти, які виконуються при перегляді сторінок.

Бізнес-вплив

Уразливість може призвести до виконання шкідливих скриптів у браузерах користувачів сайту, що загрожує компрометацією сесій, викраденням даних або іншими атаками через веб-інтерфейс. Власники сайтів на WordPress, які використовують цей плагін, ризикують порушенням безпеки та довіри користувачів, особливо якщо плагін не оновлено до безпечної версії.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна Smart Online Order for Clover від розробника та застосувати їх при доступності. Якщо оновлення відсутні, слід обмежити доступ користувачів до рівня нижче контриб'ютора, ретельно перевірити та очистити введені дані, а також моніторити журнали безпеки на предмет підозрілої активності. Загалом, слід мінімізувати ризики шляхом зменшення експозиції та пріоритетного реагування на потенційні інциденти.

Джерела

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference