PT-2020-10856 · Automattic · Woocommerce

Publicado 2020-06-19 · Atualizado 2022-05-24 · CVE-2019-20891

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões do WooCommerce anteriores à 3.6.5

Descrição

O problema ocorre quando o WooCommerce processa importações de produtos em formato CSV, levando a uma falha de falsificação de solicitação entre sites (CSRF) que resulta em um ataque de script entre sites armazenado (XSS). Isso ocorre por meio do arquivo includes/admin/importers/class-wc-product-csv-importer-controller.php.

Recomendações

Para versões anteriores à 3.6.5, atualize para a versão 3.6.5 ou posterior para resolver o problema.

Correção

CSRF

Enumeração de Fraquezas

CWE-352

Identificadores relacionados

CVE-2019-20891

GHSA-RCMF-88P4-9WRG

Produtos afetados

Woocommerce

Referências · 7

• https://github.com/woocommerce/woocommerce/commit/fd7feb778eb45a2eb92b45eb2b4ee96ea3ac6fe7 · Nota
• https://github.com/woocommerce/woocommerce · Nota
• https://blog.ripstech.com/2019/woocommerce-csrf-to-stored-xss · Nota
• https://raw.githubusercontent.com/woocommerce/woocommerce/master/CHANGELOG.txt · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2019-20891 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2019-20891 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-rcmf-88p4-9wrg · Aviso do Fabricante