PT-2021-22549 · WordPress · Credova Financial

Marvin Santos · Publicado 2021-09-29 · Atualizado 2022-08-05 · CVE-2021-39342

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

**Nome do software vulnerável e versões afetadas:

Versões do plugin Credova Financial para WordPress até a 1.4.8, inclusive

Descrição:

O plugin Credova Financial para WordPress expõe o nome de usuário e a senha da conta da API Credova associada ao site em texto simples por meio de uma ação AJAX sempre que um usuário do site procede ao checkout em uma página que tenha a opção de financiamento Credova ativada.

Recomendações:

Para versões até a 1.4.8, inclusive, atualize para uma versão posterior à 1.4.8 para resolver o problema. Como solução temporária, considere desativar a opção Credova Financing nas páginas de checkout até que um patch esteja disponível. Restrinja o acesso à ação AJAX que expõe as credenciais da conta da API Credova para minimizar o risco de exploração.

Correção

Cleartext Transmission of Sensitive Information

Insufficiently Protected Credentials

Enumeração de Fraquezas

CWE-319

CWE-522

Identificadores relacionados

CVE-2021-39342

Produtos afetados

Credova Financial

Referências · 6

• https://plugins.trac.wordpress.org/changeset/2606811/credova-financial/trunk/credova-financial.php · Correção
• https://t.me/cibsecurity/29690 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2021-39342 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2021-39342 · Aviso do Fabricante
• https://wordfence.com/vulnerability-advisories/#CVE-2021-39342 · Nota
• https://t.me/cvenotify/34307 · Publicação no Telegram