PT-2024-37871 · Yith · Yith Essential Kit For Woocommerce

Lucio Sá

·

CVE-2024-6799

·

Publicado

2024-07-19

·

Atualizado

2024-09-10

CVSS v3.1

4.3

Média

VetorAV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N
Nome do software vulnerável e versões afetadas
YITH Essential Kit for WooCommerce, versões até a 2.34.0, inclusive
Descrição
A vulnerabilidade permite que invasores autenticados com acesso de nível de Assinante ou superior modifiquem dados sem a devida autorização. Isso ocorre devido à falta de verificação de permissão nas funções activate module, deactivate module e install module. Como resultado, invasores podem instalar, ativar e desativar plugins a partir de uma lista predefinida de plugins YITH disponíveis.
Recomendações
Para versões até a 2.34.0, inclusive, atualize para uma versão superior à 2.34.0 para resolver o problema.
Como solução temporária, considere desativar as funções activate module, deactivate module e install module até que um patch esteja disponível.

Correção

Missing Authorization

Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
dbugs@ptsecurity.com

Enumeração de Fraquezas

CWE-862

Identificadores relacionados

CVE-2024-6799

Produtos afetados

Yith Essential Kit For Woocommerce