PT-2024-16591 · WordPress · Buy One Click Woocommerce Plugin

Incognito + 1 · Publicado 2024-11-13 · Atualizado 2024-11-13 · CVE-2024-10852

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.3

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N

Nome do software vulnerável e versões afetadas

Plugin Buy One Click WooCommerce para o WordPress, versões até a 2.2.9, inclusive

Descrição

O problema decorre da falta de uma verificação de permissão na ação AJAX buy one click export options, permitindo que invasores autenticados com acesso de nível de Assinante ou superior exportem as configurações do plugin. Isso resulta em acesso não autorizado aos dados.

Recomendações

Para versões até a 2.2.9, inclusive, atualize para uma versão superior à 2.2.9 para resolver o problema. Como solução temporária, considere restringir o acesso à ação AJAX buy one click export options para impedir a exportação não autorizada de dados.

Correção

Missing Authorization

Enumeração de Fraquezas

CWE-862

Identificadores relacionados

CVE-2024-10852

Produtos afetados

Buy One Click Woocommerce Plugin

Referências · 6

• https://twitter.com/CVEnew/status/1856694222344294731 · Publicação no Twitter
• https://t.me/cvenotify/101475 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2024-10852 · Nota de Segurança
• https://wordpress.org/plugins/buy-one-click-woocommerce · Nota
• https://twitter.com/VulmonFeeds/status/1856690380869116091 · Publicação no Twitter
• https://wordfence.com/threat-intel/vulnerabilities/id/230eb20c-2d0e-4056-b341-4c2db584b70a?source=cve · Nota