PT-2024-17398 · WordPress · Wpc Order Notes

Dale Mavers + 1 · Publicado 2024-12-11 · Atualizado 2024-12-11 · CVE-2024-12004

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.1

Média

Vetor base

AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

Nome do software vulnerável e versões afetadas

Plugin WPC Order Notes for WooCommerce para versões do WordPress até a 1.5.2, inclusive

Descrição

O problema se deve à falta ou à incorreção da validação do nonce na função ajax update order note(), possibilitando que invasores não autenticados injetem scripts maliciosos na web por meio de uma solicitação falsificada. Isso pode ocorrer se os invasores conseguirem induzir um administrador do site a realizar uma ação, como clicar em um link.

Recomendações

Para versões até a 1.5.2, inclusive, atualize para uma versão superior à 1.5.2 para resolver o problema.

Como solução temporária, considere desativar a função ajax update order note() até que um patch esteja disponível.

Correção

CSRF

Enumeração de Fraquezas

CWE-352

Identificadores relacionados

CVE-2024-12004

Produtos afetados

Wpc Order Notes

Referências · 9

• https://t.me/cvenotify/103850 · Publicação no Telegram
• https://plugins.trac.wordpress.org/changeset/3205072 · Nota
• https://twitter.com/CVEnew/status/1866809430831968647 · Publicação no Twitter
• https://wordpress.org/plugins/woo-order-notes/#developers · Nota
• https://wordfence.com/threat-intel/vulnerabilities/id/05f40082-30ed-45f7-81d5-d5334a51fcea?source=cve · Nota
• https://t.me/cvedetector/12622 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2024-12004 · Nota de Segurança
• https://plugins.trac.wordpress.org/browser/woo-order-notes/trunk/wpc-order-notes.php#L416 · Nota
• https://twitter.com/VulmonFeeds/status/1866781511384477885 · Publicação no Twitter