Уразливість Stored XSS у плагіні Avalon23 Products Filter для WooCommerce

Що відомо

Плагін Avalon23 Products Filter для WooCommerce у WordPress має вразливість збереженого міжсайтового скриптингу (Stored XSS) через shortcode 'avalon23_qr' у версіях до 1.1.6 включно. Недостатня санітизація та екранування атрибутів shortcode дозволяє користувачам з рівнем Contributor і вище впроваджувати шкідливі скрипти на сторінках.

Бізнес-вплив

Ця вразливість може дозволити автентифікованим користувачам із правами Contributor і вище впроваджувати довготривалі шкідливі скрипти, які виконуватимуться при перегляді сторінок іншими користувачами. Це створює ризик компрометації сесій, крадіжки даних або виконання небажаних дій від імені користувачів, що може вплинути на безпеку вебресурсу та довіру клієнтів.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна Avalon23 Products Filter і встановити останню версію, де ця вразливість усунена. Якщо оновлення недоступне, слід обмежити доступ користувачів з рівнем Contributor і вище, провести аудит логів на предмет підозрілої активності та мінімізувати експозицію вразливих сторінок. Також варто повідомити команду розробників плагіна про проблему для прискорення випуску патчу.

Джерела

• NVD
• Reference
• Reference
• Reference
• Reference