CVE-2021-4347
KrytyczneStreszczenie
Funkcja update_shipment_status_email_status_fun w wtyczce Advanced Shipment Tracking dla WooCommerce w wersjach do 3.2.6 jest podatna na uwierzytelnioną aktualizację dowolnych opcji. Funkcja ta pozwala atakującym (w tym użytkownikom na poziomie klienta) na aktualizację dowolnej opcji WordPress w bazie danych.
Ocena ryzyka
Organizacja narażona jest na ryzyko nieautoryzowanej modyfikacji ustawień WordPress, co może prowadzić do poważnych problemów z bezpieczeństwem i integralnością danych.
Rekomendacja
Zaleca się aktualizację wtyczki do najnowszej wersji, aby zniwelować tę podatność oraz monitorowanie systemu pod kątem nieautoryzowanych zmian.
Oryginalny opis (angielski, źródło NVD)
The function update_shipment_status_email_status_fun in the plugin Advanced Shipment Tracking for WooCommerce in versions up to 3.2.6 is vulnerable to authenticated arbitrary options update. The function allows attackers (including those at customer level) to update any WordPress option in the database. Version 3.2.5 was initially released as a fix, but doesn't fully address the issue.