PT-2024-23378 · WordPress · Woocommerce Pdf Invoices & Packing Slips

Tim Coen · Publicado 2024-05-02 · Atualizado 2024-05-11 · CVE-2024-3045

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.2

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:C/C:L/I:L/A:N

Nome do software vulnerável e versões afetadas

Plugin “PDF Invoices & Packing Slips for WooCommerce” para o WordPress, versões até a 3.8.0, inclusive

Descrição

A vulnerabilidade está relacionada a um ataque de Cross-Site Scripting (XSS) armazenado, devido à sanitização insuficiente de entradas e à falta de escapamento de saídas, permitindo que invasores não autenticados injetem scripts web arbitrários nas páginas. Isso possibilita que invasores executem scripts sempre que um usuário acessar uma página infectada.

Recomendações

Para versões até a 3.8.0, inclusive, atualize para uma versão superior à 3.8.0 para resolver o problema.

Como solução temporária, considere restringir o acesso aos parâmetros usados para entrada, a fim de minimizar o risco de exploração.

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2024-3045

Produtos afetados

Woocommerce Pdf Invoices & Packing Slips

Referências · 6

• https://nvd.nist.gov/vuln/detail/CVE-2024-3045 · Nota de Segurança
• https://twitter.com/CVEnew/status/1789348975692140693 · Publicação no Twitter
• https://wordfence.com/threat-intel/vulnerabilities/id/2d0e5d24-5d65-4ed5-8086-347969cbd3ec?source=cve · Nota
• https://plugins.trac.wordpress.org/changeset/3076105 · Correção
• https://plugins.trac.wordpress.org/browser/woocommerce-pdf-invoices-packing-slips/trunk/ubl/Transformers/AddressTransformer.php#L16 · Nota
• https://osv.dev/vulnerability/CVE-2024-3045 · Aviso do Fabricante