PT-2024-39488 · WordPress · Maximum Products Per User For Woocommerce

Dale Mavers + 1 · Publicado 2024-10-09 · Atualizado 2024-10-15 · CVE-2024-9205

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.1

Média

Vetor base

AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

Nome do software vulnerável e versões afetadas

Plugin “Maximum Products per User for WooCommerce” para versões do WordPress até a 4.2.8, inclusive

Descrição

O problema decorre do uso de add query arg sem o escape adequado na URL, levando a um ataque de Cross-Site Scripting refletido. Isso permite que invasores não autenticados injetem scripts web arbitrários nas páginas, os quais são executados quando um usuário realiza uma ação específica, como clicar em um link. Os invasores podem induzir os usuários a realizar tais ações.

Recomendações

Para versões até a 4.2.8, inclusive, atualize para uma versão superior à 4.2.8 para resolver o problema.

Como solução temporária, considere restringir o acesso à função add query arg até que um patch esteja disponível.

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2024-9205

Produtos afetados

Maximum Products Per User For Woocommerce

Referências · 8

• https://osv.dev/vulnerability/CVE-2024-9205 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/1844204396483097073 · Publicação no Twitter
• https://t.me/cvedetector/7556 · Publicação no Telegram
• https://plugins.trac.wordpress.org/browser/maximum-products-per-user-for-woocommerce/tags/4.2.8/includes/class-alg-wc-mppu-users.php#L836 · Nota
• https://plugins.trac.wordpress.org/changeset/3164534/maximum-products-per-user-for-woocommerce/tags/4.2.9/includes/class-alg-wc-mppu-users.php · Correção
• https://wordfence.com/threat-intel/vulnerabilities/id/140c0d22-dc26-4100-a5c0-a2f8a6f98d97?source=cve · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2024-9205 · Nota de Segurança
• https://t.me/cvenotify/98087 · Publicação no Telegram