CVE-2024-35777 描述了 WooCommerce 插件中存在的内容欺骗漏洞。该漏洞允许攻击者进行内容篡改，从而可能导致用户误导或信息泄露。受影响的版本包括从 n/a 到 8.9.2 版本。该漏洞已在 8.9.3 版本中得到修复。
WooCommerce中的CVE-2024-35777被分类为“Injection”类型漏洞，CVSS 3.5评分，允许内容伪造。这意味着攻击者可能将恶意代码注入到WooCommerce的输出中，从而潜在地操纵向用户显示的信息。具体来说，输出中特殊元素的处理不当可能允许攻击者插入在用户浏览器中执行的恶意HTML或脚本。潜在的影响包括更改网站外观、将用户重定向到恶意网站，或在WooCommerce网站的上下文中执行任意代码。此漏洞影响WooCommerce从n/a到8.9.2的版本，因此至关重要的是升级到8.9.3或更高版本以降低风险。
此漏洞是通过操纵WooCommerce用于生成输出内容的输入数据来利用的。攻击者可以将恶意代码注入到输入字段中，例如产品名称、描述或标签，这些字段将不经过适当的验证或编码就显示给用户。这使得攻击者能够在用户的浏览器中执行任意代码。利用的复杂性可能因WooCommerce网站的特定配置以及安装的插件和主题而异。但是，由于其内容伪造的潜力以及可能执行恶意代码，因此此漏洞被认为是中等严重程度。
WordPress websites utilizing WooCommerce, particularly those running older versions (≤8.9.2), are at risk. Shared hosting environments where website owners have limited control over plugin updates are especially vulnerable. Sites with custom WooCommerce integrations or modifications may also be at increased risk if those customizations haven't been thoroughly reviewed for injection vulnerabilities.
• wordpress / composer / npm:
wp plugin list | grep WooCommerce• wordpress / composer / npm:
wp plugin update --all• wordpress / composer / npm:
grep -r "Automattic WooCommerce" /var/www/html/wp-content/plugins/• generic web: Check WooCommerce version displayed on the website footer or product pages.
disclosure
漏洞利用状态
EPSS
0.27% (50% 百分位)
CISA SSVC
CVE-2024-35777的解决方案是将WooCommerce升级到8.9.3或更高版本。Automattic发布了此更新以解决注入漏洞。强烈建议尽快执行此更新以保护您的WooCommerce商店。此外，请检查您网站上使用的任何第三方插件和主题，因为如果未更新，它们可能容易受到攻击。实施强大的安全策略，包括验证用户输入和安全编码实践，也可以帮助防止未来的注入攻击。为了能够在发生安全事件时恢复您的WooCommerce网站，定期备份您的WooCommerce网站至关重要。
将 WooCommerce 插件更新到最新可用版本。最新版本包含内容注入 (Content Injection) 漏洞的修复程序。要更新，请转到 WordPress 管理面板，然后转到“插件”部分并找到 WooCommerce。如果有可用更新，请单击“立即更新”。
漏洞分析和关键警报直接发送到您的邮箱。
这意味着攻击者可以更改您WooCommerce网站上显示的信息，使其看起来与原始信息不同。
同时，实施额外的安全措施，例如Web应用程序防火墙（WAF），并在您的网站上显示之前仔细检查任何数据输入。
是的，所有使用8.9.3之前的版本的WooCommerce商店都容易受到攻击。
您可以在WordPress管理面板中的“WooCommerce”->“状态”部分找到您的WooCommerce版本。
有WordPress漏洞扫描器可以帮助您识别此漏洞。请咨询您的托管服务提供商或搜索信誉良好的WordPress安全工具。
CVSS 向量
上传你的依赖文件，立即了解此CVE和其他CVE是否影响你。