Вразливість Stored XSS у плагіні Big Post Shipping для WooCommerce

Що відомо

Плагін Big Post Shipping для WooCommerce має вразливість збереженого міжсайтового скриптингу (Stored XSS) через shortcode 'wooboigpost_shipping_status' у версіях до 2.1.2 включно. Аутентифіковані користувачі з рівнем доступу не нижче контриб'ютора можуть вставляти шкідливі скрипти, які виконуються при перегляді сторінок.

Бізнес-вплив

Ця вразливість дозволяє зловмисникам із правами контриб'ютора або вище впроваджувати шкідливі скрипти, що може призвести до викрадення сесій, зміни контенту або інших атак на користувачів сайту. Власники інфраструктури ризикують компрометацією даних та порушенням роботи вебресурсу.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна від розробника та застосувати їх. Якщо оновлення недоступні, слід обмежити доступ користувачів до рівня нижче контриб'ютора, провести аудит логів на наявність підозрілої активності та мінімізувати вплив шляхом обмеження введення даних у shortcode.

Джерела

• NVD
• Reference
• Reference
• Reference
• Reference