CVE-2023-4471
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 37 - wyżej niż 37% wszystkich znanych CVE
Streszczenie
Wtyczka Order Tracking Pro dla WordPressa jest podatna na odzwierciedlone ataki Cross-Site Scripting (XSS) poprzez parametry start_date i end_date w wersjach do 3.3.6 włącznie, z powodu niewystarczającej sanitizacji wejścia i ucieczki wyjścia.
Ocena ryzyka
Atakujący bez uwierzytelnienia mogą wstrzykiwać dowolne skrypty webowe, co może prowadzić do przejęcia sesji użytkownika lub kradzieży danych.
Rekomendacja
Zaleca się aktualizację wtyczki do najnowszej wersji oraz wdrożenie odpowiednich mechanizmów sanitizacji danych wejściowych.
Oryginalny opis (angielski, źródło NVD)
The Order Tracking Pro plugin for WordPress is vulnerable to Reflected Cross-Site Scripting via the start_date and end_date parameters in versions up to, and including, 3.3.6 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that execute if they can successfully trick a user into performing an action such as clicking on a link.