PT-2024-16935 · WordPress · Pdf Invoices & Packing Slips Generator For Woocommerce

Dale Mavers + 1 · CVE-2024-11361 · Publicado 2024-11-22 · Atualizado 2024-11-23

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.1

Média

Vetor base

AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

Nome do software vulnerável e versões afetadas

Plugin “PDF Invoices & Packing Slips Generator for WooCommerce” para o WordPress, versões até a 2.2.1, inclusive

Descrição

O problema decorre do uso de add query arg sem o escape adequado na URL, levando a um ataque de Cross-Site Scripting refletido. Isso permite que invasores não autenticados injetem scripts web arbitrários em páginas que são executados quando um usuário realiza uma ação específica, como clicar em um link.

Recomendações

Para versões até a 2.2.1, inclusive, atualize para uma versão que corrija o problema com add query arg para evitar o Cross-Site Scripting refletido.

Como solução temporária, considere restringir o acesso a páginas potencialmente vulneráveis até que um patch esteja disponível.

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2024-11361

Produtos afetados

Pdf Invoices & Packing Slips Generator For Woocommerce

Referências · 7

• https://plugins.trac.wordpress.org/changeset?sfp_email=&sfph_mail=&reponame=&old=3194265%40pdf-invoicing-for-woocommerce&new=3194265%40pdf-invoicing-for-woocommerce&sfp_email=&sfph_mail= · Nota
• https://wordfence.com/threat-intel/vulnerabilities/id/f01ecce1-cff1-41a6-ae90-3ace8b2e3a36?source=cve · Nota
• https://plugins.trac.wordpress.org/browser/pdf-invoicing-for-woocommerce/tags/2.2.1/includes/class-alg-wc-pdf-invoicing-admin.php#L213 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2024-11361 · Nota de Segurança
• https://twitter.com/CVEnew/status/1860199488209534979 · Publicação no Twitter
• https://t.me/cvenotify/102422 · Publicação no Telegram
• https://plugins.trac.wordpress.org/browser/pdf-invoicing-for-woocommerce/tags/2.2.1/includes/class-alg-wc-pdf-invoicing-admin.php#L244 · Nota