CVE-2024-9944 是 WooCommerce 插件中的一个 HTML 注入漏洞，攻击者可以利用此漏洞注入恶意 HTML 代码。这可能导致管理员在查看订单表单时执行恶意脚本。受影响的版本包括 9.0.2 及以下版本。由于没有官方补丁，用户应采取其他安全措施。
WooCommerce的CVE-2024-9944漏洞将版本限制在9.0.2及更早版本，使其容易受到HTML注入攻击。 这使得未经身份验证的攻击者能够将任意HTML注入到订单表单提交中。 当管理员查看这些提交时，注入的HTML将呈现，从而可能损害网站的安全性。 风险在于攻击者能够插入恶意脚本、网络钓鱼链接或具有误导性的内容，从而影响WordPress管理面板的外观和行为，从而可能导致数据篡改或未经授权的访问。 虽然利用需要访问管理面板来查看订单，但注入的简易性使其成为订单量大的WooCommerce网站的一个主要问题。
未经身份验证的攻击者可以通过提交包含注入的HTML的恶意订单表单来利用此漏洞。 当WordPress管理员查看订单提交时，此代码将呈现。 此漏洞源于WooCommerce中输入数据的不足清理。 攻击者无需WordPress凭据即可利用此漏洞，使其成为一个重大风险。 漏洞利用的复杂性较低，仅需要提交包含恶意HTML的表单。 潜在影响是中等，可能损害向管理员显示的的信息完整性。
WordPress sites utilizing the WooCommerce plugin are at risk, particularly those running versions 9.0.2 or earlier. Shared hosting environments where plugin updates are managed by the hosting provider are also at increased risk, as they may be slower to apply security patches. Sites with custom WooCommerce integrations or extensions should also be carefully reviewed for potential compatibility issues after upgrading.
• wordpress / composer / npm:
grep -r "<script" /var/www/html/wp-content/plugins/woocommerce/*• wordpress / composer / npm:
wp plugin list --status=all | grep woocommerce• wordpress / composer / npm:
wp plugin update woocommerce• generic web: Review WordPress admin user access logs for unusual activity related to order form submissions.
disclosure
漏洞利用状态
EPSS
0.72% (72% 百分位)
CISA SSVC
解决CVE-2024-9944的办法是将WooCommerce更新到9.0.3或更高版本，其中已修复了该漏洞。 期间，在采取任何基于其内容的行动之前，请仔细审查所有订单提交。 实施提供对HTML注入保护的WordPress安全插件也可以帮助减轻风险。 定期备份网站对于在发生攻击时恢复网站至关重要。 最后，仅允许授权用户使用强密码访问管理面板是一种基本的安全实践。
更新 WooCommerce 插件到最新可用版本。9.0.3 或更高版本修复了这个 HTML 注入漏洞。
漏洞分析和关键警报直接发送到您的邮箱。
这意味着攻击者无需登录WordPress即可利用此漏洞。 他们可以直接提交恶意订单表单。
他们可以注入恶意脚本（如JavaScript）、网络钓鱼链接、具有误导性的图像或任何可能更改管理面板外观或行为的其他HTML代码。
查找管理面板外观的意外更改、可疑重定向或您网站上的修改文件。
是的，无论订单量如何，更新WooCommerce到最新版本对于保护您的网站免受潜在攻击至关重要。
是的，有几个WordPress安全插件提供对HTML注入和其他漏洞的保护。 研究并选择一个适合您需求的插件。
CVSS 向量
上传你的依赖文件，立即了解此CVE和其他CVE是否影响你。