PT-2025-7384 · WordPress · Peprodev Ultimate Invoice

Tim Coen · Publicado 2025-02-19 · Atualizado 2025-02-19 · CVE-2024-13719

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.3

Média

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N

Nome do Software Vulnerável e Versões Afetadas Plugin PeproDev Ultimate Invoice para WordPress, versões até e incluindo a 2.0.8

Descrição O problema refere-se a uma vulnerabilidade de Referência Direta Insegura a Objetos no plugin PeproDev Ultimate Invoice para WordPress. Esta vulnerabilidade ocorre devido à falta de validação em uma chave controlada pelo usuário no visualizador de faturas. Como resultado, atacantes não autenticados podem visualizar faturas de pedidos concluídos, acessando potencialmente informações pessoalmente identificáveis (PII) dos usuários.

Recomendações Para versões até e incluindo a 2.0.8, atualize para uma versão superior à 2.0.8 para resolver o problema. Como solução alternativa temporária, considere restringir o acesso ao visualizador de faturas para impedir que atacantes não autenticados visualizem faturas de pedidos concluídos.

Correção

IDOR

Missing Authorization

Enumeração de Fraquezas

CWE-639

CWE-862

Identificadores relacionados

CVE-2024-13719

Produtos afetados

Peprodev Ultimate Invoice

Referências · 8

• https://plugins.trac.wordpress.org/changeset?sfp_email=&sfph_mail=&reponame=&old=3244844%40pepro-ultimate-invoice&new=3244844%40pepro-ultimate-invoice&sfp_email=&sfph_mail= · Nota
• https://wordpress.org/plugins/pepro-ultimate-invoice · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2024-13719 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2024-13719 · Aviso do Fabricante
• https://wordfence.com/threat-intel/vulnerabilities/id/46186f8d-e50c-476a-9480-b6121412474a?source=cve · Nota
• https://t.me/cvedetector/18429 · Publicação no Telegram
• https://twitter.com/VulmonFeeds/status/1892215566192009655 · Publicação no Twitter
• https://twitter.com/CVEnew/status/1892119604685570343 · Publicação no Twitter