Уразливість Stored XSS у плагіні QR Code for WooCommerce для WordPress

Що відомо

Плагін QR Code for WooCommerce для WordPress має уразливість збереженого міжсайтового скриптингу (Stored XSS) через недостатню санітизацію та екранування введених користувачем атрибутів у шорткодах. Атакуючі з рівнем доступу не нижче контриб'ютора можуть впроваджувати шкідливі скрипти, які виконуватимуться при перегляді заражених сторінок.

Бізнес-вплив

Ця уразливість дозволяє зловмисникам впроваджувати довготривалі скрипти, що можуть викрадати сесійні дані або виконувати небажані дії від імені користувачів. Для власників інфраструктури це означає підвищений ризик компрометації облікових записів та втрати довіри користувачів. Середній рівень критичності вказує на необхідність своєчасного реагування.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна від розробника та застосувати їх, якщо вони доступні. У разі відсутності патчів слід обмежити доступ користувачів до рівня нижче контриб'ютора, провести аудит логів на предмет підозрілої активності та мінімізувати експозицію вразливих сторінок. Також варто впровадити додаткові заходи з фільтрації та екранування введених даних.

Джерела

• NVD
• Reference
• Reference
• Reference