PT-2024-27454 · Unknown · Woocommerce+1

Tomalec · Publicado 2024-06-12 · Atualizado 2024-07-23 · CVE-2024-37297

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.4

Média

Vetor base

AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N

Nome do software vulnerável e versões afetadas

Versões 8.8 a 8.8.4 do WooCommerce

Versões 8.9 a 8.9.2 do WooCommerce

Descrição

Uma vulnerabilidade de cross-site scripting no WooCommerce permite que um invasor manipule um link para incluir conteúdo malicioso em HTML e JavaScript. O JavaScript injetado pode sequestrar conteúdo e dados armazenados no navegador, incluindo a sessão. O conteúdo da URL é lido por meio da biblioteca Sourcebuster.js e, em seguida, inserido sem a devida sanitização nos formulários clássicos de checkout e registro.

Recomendações

Para as versões 8.8 a 8.8.4, atualize para a versão 8.8.5 ou posterior.

Para as versões 8.9 a 8.9.2, atualize para a versão 8.9.3 ou posterior.

Como solução temporária, considere desativar o recurso de Atribuição de Pedidos para minimizar o risco de exploração.

Exploit

Correção

XSS

Enumeração de Fraquezas

CWE-80

CWE-79

Identificadores relacionados

CVE-2024-37297

GHSA-CV23-Q6GH-XFRF

Produtos afetados

Sourcebuster.Js

Woocommerce

Referências · 9

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2024/37xxx/CVE-2024-37297.json · Exploit
• https://github.com/woocommerce/woocommerce/commit/0e9888305d0cb9557e58f558526ab11cb3bcc4b4 · Correção
• https://github.com/woocommerce/woocommerce/security/advisories/GHSA-cv23-q6gh-xfrf · Correção
• https://github.com/woocommerce/woocommerce/commit/915e32a42762916b745a7e663c8b69a698da8b67 · Correção
• https://github.com/woocommerce/woocommerce · Nota
• https://developer.woocommerce.com/2024/06/10/developer-advisory-xss-vulnerability-8-8-0 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2024-37297 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-cv23-q6gh-xfrf · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2024-37297 · Aviso do Fabricante