CVE-2023-3199
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 21 - wyżej niż 21% wszystkich znanych CVE
Streszczenie
Wtyczka MStore API dla WordPressa jest podatna na atak typu Cross-Site Request Forgery z powodu braku walidacji nonce w funkcji mstore_update_status_order_title. Umożliwia to nieautoryzowanym atakującym aktualizację tytułu statusu zamówienia za pomocą sfałszowanego żądania, jeśli uda im się nakłonić administratora strony do wykonania akcji, takiej jak kliknięcie w link.
Ocena ryzyka
Atakujący mogą wykorzystać tę podatność do zmiany tytułów statusów zamówień, co może prowadzić do dezinformacji lub oszustw w systemie zamówień. To stwarza ryzyko utraty zaufania klientów oraz potencjalnych strat finansowych.
Rekomendacja
Zaleca się wdrożenie walidacji nonce w funkcji mstore_update_status_order_title oraz regularne aktualizowanie wtyczek WordPressa, aby zminimalizować ryzyko ataków. Dodatkowo, administratorzy powinni być ostrożni przy klikaniu w linki w wiadomościach e-mail lub na stronach internetowych.
Oryginalny opis (angielski, źródło NVD)
The MStore API plugin for WordPress is vulnerable to Cross-Site Request Forgery due to missing nonce validation on the mstore_update_status_order_title function. This makes it possible for unauthenticated attackers to update status order title via a forged request granted they can trick a site administrator into performing an action such as clicking on a link.