CVE-2023-3198
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 23 - wyżej niż 23% wszystkich znanych CVE
Streszczenie
Wtyczka MStore API dla WordPressa jest podatna na atak typu Cross-Site Request Forgery z powodu braku walidacji nonce w funkcji mstore_update_status_order_message. Umożliwia to nieautoryzowanym atakującym aktualizację wiadomości statusu zamówienia poprzez sfałszowane żądanie, o ile uda im się nakłonić administratora strony do wykonania akcji, takiej jak kliknięcie w link.
Ocena ryzyka
Atakujący mogą wykorzystać tę podatność do zmiany statusu zamówienia, co może prowadzić do oszustw lub nieautoryzowanych zmian w systemie. To stwarza ryzyko utraty zaufania klientów oraz potencjalnych strat finansowych.
Rekomendacja
Zaleca się wdrożenie walidacji nonce w funkcji mstore_update_status_order_message oraz regularne aktualizowanie wtyczek WordPressa, aby zminimalizować ryzyko ataków. Należy również edukować administratorów w zakresie bezpieczeństwa i ostrożności przy klikaniu w linki.
Oryginalny opis (angielski, źródło NVD)
The MStore API plugin for WordPress is vulnerable to Cross-Site Request Forgery due to missing nonce validation on the mstore_update_status_order_message function. This makes it possible for unauthenticated attackers to update status order message via a forged request granted they can trick a site administrator into performing an action such as clicking on a link.