PT-2024-39942 · WordPress · Woocommerce Order Proposal

Theo Papaioannou + 1 · Publicado 2024-10-23 · Atualizado 2024-10-25 · CVE-2024-9927

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.2

Alta

Vetor base

AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Plugin WooCommerce Order Proposal para versões do WordPress até e incluindo a 2.0.5

Descrição

O problema se deve à implementação incorreta da função allow payment without login, permitindo que invasores autenticados com acesso de nível Shop Manager ou superior façam login no WordPress como uma conta de usuário arbitrária, incluindo administradores, por meio da proposta de pedido.

Recomendações

Para versões até e incluindo a 2.0.5, atualize para uma versão posterior à 2.0.5 para resolver o problema.

Como solução temporária, considere restringir o acesso à função allow payment without login até que um patch esteja disponível.

Correção

Improper Authentication

Enumeração de Fraquezas

CWE-287

Identificadores relacionados

CVE-2024-9927

Produtos afetados

Woocommerce Order Proposal

Referências · 9

• https://wordfence.com/threat-intel/vulnerabilities/id/cdc993a4-6f65-4570-811c-13a80dbec064?source=cve · Nota
• https://wpovernight.com/downloads/woocommerce-order-proposal · Nota
• https://t.me/latest_high_impact_cve/1384 · Publicação no Telegram
• https://t.me/cvenotify/99153 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2024-9927 · Nota de Segurança
• https://t.me/cvedetector/8671 · Publicação no Telegram
• https://t.me/cvenotify/99524 · Publicação no Telegram
• https://twitter.com/CVEnew/status/1849046678378295653 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2024-9927 · Aviso do Fabricante