PT-2024-16491 · Woocommerce · Booking & Appointment Plugin For Woocommerce

István Márton · CVE-2024-10729 · Publicado 2024-11-26 · Atualizado 2024-12-01

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Plugin Booking & Appointment para WooCommerce, versão 6.9.0 e anteriores

Descrição

O problema está relacionado à falta de uma verificação de permissão na função save google calendar data, permitindo que invasores autenticados com permissões de nível de assinante ou superiores atualizem as opções do site arbitrariamente. Isso possibilita a modificação não autorizada de dados.

Recomendações

Para versões até e incluindo a 6.9.0, atualize para uma versão posterior à 6.9.0 para resolver o problema.

Como solução temporária, considere restringir o acesso à função save google calendar data até que um patch esteja disponível.

Restrinja as permissões para impedir que invasores com permissões de nível de assinante ou superiores explorem a vulnerabilidade.

Correção

Improper Authorization

Enumeração de Fraquezas

CWE-285

Identificadores relacionados

CVE-2024-10729

Produtos afetados

Booking & Appointment Plugin For Woocommerce

Referências · 7

• https://wordfence.com/threat-intel/vulnerabilities/id/6ed215da-10c5-469b-bab2-923808feebd4?source=cve · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2024-10729 · Nota de Segurança
• https://twitter.com/cracbot/status/1863100837939356077 · Publicação no Twitter
• https://twitter.com/CveFindCom/status/1861236886456406306 · Publicação no Twitter
• https://tychesoftwares.com/docs/docs/booking-appointment-plugin-for-woocommerce-new/changelog · Nota
• https://t.me/cvenotify/102553 · Publicação no Telegram
• https://t.me/latest_high_impact_cve/1564 · Publicação no Telegram