Вразливість Stored XSS у плагіні SysBasics Customize My Account для WooCommerce

Що відомо

Плагін SysBasics Customize My Account для WooCommerce має вразливість збереженого міжсайтового скриптингу (Stored XSS) через параметр 'row_type' у версіях до 4.4.14 включно. Зловмисники з рівнем доступу менеджера магазину можуть впроваджувати шкідливі скрипти, які виконуються при перегляді сторінок користувачами.

Бізнес-вплив

Ця вразливість дозволяє авторизованим користувачам з правами менеджера магазину впроваджувати довготривалі скрипти, що можуть викрасти сесійні дані або змінити відображення сторінок, що підвищує ризик компрометації облікових записів та довіри користувачів. Власники інфраструктури повинні враховувати потенційний вплив на безпеку веб-сайтів, що використовують цей плагін.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна від розробника та застосувати їх при доступності. Якщо оновлення відсутні, слід обмежити права доступу до рівня менеджера магазину, провести аудит логів на наявність підозрілої активності та мінімізувати експозицію вразливих сторінок. Також варто впровадити додаткові заходи фільтрації введених даних.

Джерела

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference