PT-2025-9151 · WordPress · Currency Switcher For Woocommerce

Colin Xu · Publicado 2025-03-01 · Atualizado 2025-03-02 · CVE-2024-9217

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.1

Média

Vetor base

AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas Plugin Currency Switcher for WooCommerce para WordPress, versões até e incluindo a 2.16.2

Descrição O problema está relacionado ao Cross-Site Scripting Refletido, que ocorre devido ao uso de add query arg sem o escape adequado na URL. Isso permite que atacantes não autenticados injetem scripts web arbitrários em páginas, os quais são executados quando um usuário realiza uma ação específica, como clicar em um link.

Recomendações Para as versões até e incluindo a 2.16.2, atualize para uma versão superior à 2.16.2 para resolver o problema.

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2024-9217

Produtos afetados

Currency Switcher For Woocommerce

Referências · 9

• https://twitter.com/CVEnew/status/1895982006238134408 · Publicação no Twitter
• https://twitter.com/VulmonFeeds/status/1895713227339677981 · Publicação no Twitter
• https://plugins.trac.wordpress.org/browser/currency-switcher-woocommerce/trunk/includes/functions/alg-switcher-selector-functions.php#L139 · Nota
• https://plugins.trac.wordpress.org/changeset/3252003 · Nota
• https://wordfence.com/threat-intel/vulnerabilities/id/3357892e-c047-406b-8914-018ea966e799?source=cve · Nota
• https://twitter.com/cybercronai/status/1896164925296279944 · Publicação no Twitter
• https://t.me/cvenotify/112963 · Publicação no Telegram
• https://t.me/cvedetector/19212 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2024-9217 · Nota de Segurança