PT-2024-11594 · WordPress · Woocommerce Multiple Free Gift

Danielius Vargonas · Publicado 2024-09-13 · Atualizado 2024-09-27 · CVE-2022-3459

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.3

Média

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N

Nome do software vulnerável e versões afetadas

Plugin WooCommerce Multiple Free Gift para o WordPress, versões até a 1.2.3, inclusive

Descrição

O problema decorre do fato de o plugin não realizar verificações no servidor sobre os produtos que podem ser adicionados como presente. Isso permite que invasores não autenticados adicionem itens que não são presentes ao carrinho como se fossem presentes.

Recomendações

Para versões até a 1.2.3, inclusive, atualize para uma versão que implemente verificações do lado do servidor nos produtos de presente para evitar manipulação.

Como solução temporária, considere restringir os tipos de produtos que podem ser adicionados como presentes para minimizar o risco de exploração.

Correção

IDOR

Enumeração de Fraquezas

CWE-639

Identificadores relacionados

CVE-2022-3459

Produtos afetados

Woocommerce Multiple Free Gift

Referências · 8

• https://twitter.com/CVEnew/status/1834788455013810437 · Publicação no Twitter
• https://t.me/cvenotify/94612 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2022-3459 · Nota de Segurança
• https://t.me/cvedetector/5665 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2022-3459 · Aviso do Fabricante
• https://plugins.trac.wordpress.org/browser/woocommerce-multiple-free-gift/trunk/lib/WFG_Frontend.class.php#L189 · Nota
• https://t.me/cvenotify/96388 · Publicação no Telegram
• https://wordfence.com/threat-intel/vulnerabilities/id/cdb9c321-1a2c-4593-9947-2071a908ee1c?source=cve · Nota