PT-2025-2245 · WordPress · Ti Woocommerce Wishlist
Tim Coen
·
Publicado
2025-01-30
·
Atualizado
2025-02-04
·
CVE-2024-13694
CVSS v3.1
7.5
Alta
| Vetor | AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N |
Nome do Software Vulnerável e Versões Afetadas
Plugin WooCommerce Wishlist para WordPress, versões até e incluindo a 1.8.7
Descrição
A questão envolve uma falta de validação em uma chave controlada pelo usuário na função
download pdf file(), permitindo que atacantes não autenticados extraiam dados de listas de desejos às quais não deveriam ter acesso. Isso se deve a uma vulnerabilidade de Referência Direta a Objetos Insegura (Insecure Direct Object Reference).Recomendações
Para versões até e incluindo a 1.8.7, considere desativar a função
download pdf file() até que um patch esteja disponível para prevenir acesso não autorizado aos dados da lista de desejos. Restrinja o acesso à funcionalidade da lista de desejos para minimizar o risco de exploração. Evite utilizar a função vulnerável até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.Improper Authorization
IDOR
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Ti Woocommerce Wishlist