PT-2020-12647 · Automattic+2 · Woocommerce+2

Jack Misiura · Publicado 2020-08-26 · Atualizado 2020-09-01 · CVE-2020-11497

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N

Nome do software vulnerável e versões afetadas

Extensão NAB Transact versão 2.1.0 para o plugin WooCommerce do WordPress

Descrição

Uma falha permite que pedidos sejam marcados como totalmente pagos através da atribuição de um ID de transação bancária arbitrário durante a etapa de inserção dos detalhes de pagamento, contornando efetivamente o sistema de pagamento online.

Recomendações

Para a extensão NAB Transact versão 2.1.0, atualize para uma versão mais recente que contenha uma correção para este problema, pois a atribuição de IDs de transação bancária arbitrárias pode levar ao atendimento não autorizado de pedidos. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Exploit

Enumeração de Fraquezas

CWE-354

Identificadores relacionados

CVE-2020-11497

Produtos afetados

Nab Transact Extension

Woocommerce

Wordpress

Referências · 5

• 🔥 http://seclists.org/fulldisclosure/2020/Aug/13 · Exploit
• 🔥 https://themissinglink.com.au/security-advisories-cve-2020-11497 · Exploit
• https://osv.dev/vulnerability/CVE-2020-11497 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2020-11497 · Nota de Segurança
• http://packetstormsecurity.com/files/158931/WordPress-NAB-Transact-WooCommerce-2.1.0-Payment-Bypass.html · Nota