PT-2025-6612 · Lightspeed · Ecwid

Brian Sans-Souci + 1 · Publicado 2025-02-18 · Atualizado 2025-02-18 · CVE-2024-13795

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.3

Média

Vetor base

AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas Plugin Ecwid by Lightspeed Ecommerce Shopping Cart para WordPress versões até, e incluindo, 6.12.27

Descrição O problema está relacionado à Falsificação de Solicitação Entre Sites (CSRF) devido à validação de nonce ausente ou incorreta na função ecwid deactivate feedback(). Isso permite que atacantes não autenticados enviem mensagens de desativação em nome do proprietário do site por meio de uma solicitação forjada, desde que consigam enganar um administrador do site para realizar uma ação, como clicar em um link.

Recomendações Para versões até, e incluindo, 6.12.27, considere desativar a função ecwid deactivate feedback() até que uma correção esteja disponível para prevenir a exploração. Restrinja o acesso à funcionalidade do plugin para minimizar o risco de ataques de Falsificação de Solicitação Entre Sites. Evite usar o plugin até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

CSRF

Enumeração de Fraquezas

CWE-352

Identificadores relacionados

CVE-2024-13795

Produtos afetados

Ecwid

Referências · 6

• https://nvd.nist.gov/vuln/detail/CVE-2024-13795 · Nota de Segurança
• https://twitter.com/CVEnew/status/1891753580887146916 · Publicação no Twitter
• https://wordfence.com/threat-intel/vulnerabilities/id/f1eb9ec6-897a-4c38-a85c-033d7050dcfa?source=cve · Nota
• https://osv.dev/vulnerability/CVE-2024-13795 · Aviso do Fabricante
• https://plugins.trac.wordpress.org/changeset?sfp_email=&sfph_mail=&reponame=&old=3241777%40ecwid-shopping-cart&new=3241777%40ecwid-shopping-cart&sfp_email=&sfph_mail= · Correção
• https://t.me/cvedetector/18306 · Publicação no Telegram