Уразливість Stored XSS у плагіні Dynamic AJAX Product Filters для WooCommerce

Що відомо

Плагін Dynamic AJAX Product Filters для WooCommerce містить уразливість збереженого міжсайтового скриптингу (Stored XSS) через параметр 'name' у версіях до 1.3.7 включно. Це дозволяє автентифікованим користувачам з рівнем Contributor і вище впроваджувати шкідливі скрипти, які виконуються при перегляді заражених сторінок.

Бізнес-вплив

Уразливість може призвести до виконання довільних скриптів у браузерах користувачів, що відкриває шлях до викрадення сесій, фішингу або інших атак на користувачів сайту. Для власників інфраструктури це означає підвищений ризик компрометації даних та зниження довіри користувачів. Вразливість має середній рівень критичності (CVSS 6.4), тому її слід враховувати при пріоритезації заходів безпеки.

Рекомендовані дії адміністратора

Адміністраторам рекомендується перевірити наявність оновлень плагіна від розробника та застосувати їх, якщо доступні. Якщо оновлення відсутні, слід обмежити права користувачів до мінімально необхідних, особливо для ролей Contributor і вище. Також варто провести аудит логів на предмет підозрілої активності та впровадити додаткові заходи фільтрації введення на сайті.

Джерела

• NVD
• Reference
• Reference
• Reference
• Reference