CVE-2023-3199
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 21 - wyżej niż 21% wszystkich znanych CVE
Streszczenie
Wtyczka MStore API dla WordPressa jest podatna na atak typu Cross-Site Request Forgery z powodu braku walidacji nonce w funkcji mstore_update_status_order_title. Umożliwia to nieautoryzowanym atakującym aktualizację tytułu statusu zamówienia za pomocą sfałszowanego żądania, jeśli uda im się nakłonić administratora strony do wykonania akcji, takiej jak kliknięcie w link.
Ocena ryzyka
Atakujący mogą wykorzystać tę podatność do zmiany tytułów statusów zamówień, co może prowadzić do dezinformacji lub oszustw w systemie zamówień. To stwarza ryzyko utraty zaufania klientów oraz potencjalnych strat finansowych.
Rekomendacja
Zaleca się wdrożenie walidacji nonce w funkcji mstore_update_status_order_title oraz regularne aktualizowanie wtyczek WordPressa, aby zminimalizować ryzyko ataków. Dodatkowo, administratorzy powinni być ostrożni przy klikaniu w linki w wiadomościach e-mail lub na stronach internetowych.
Inne podatności w MStore API plugin for WordPress
Zobacz wszystkie- CVE-2023-3197Krytyczne
Wtyczka MStore API dla WordPressa jest podatna na nieautoryzowaną ślepą injekcję SQL poprzez parametr 'id' w wersjach do 4.0.1 włącznie, z powodu niewystarczającego zabezpieczenia parametrów dostarczanych przez użytkownika oraz braku odpowiedniego przygotowania istniejącego zapytania SQL.
- CVE-2023-3202Średnie
Wtyczka MStore API dla WordPressa jest podatna na atak typu Cross-Site Request Forgery z powodu braku walidacji nonce w funkcji mstore_update_firebase_server_key. Umożliwia to nieautoryzowanym atakującym aktualizację klucza serwera Firebase do powiadomień push, gdy status zamówienia ulegnie zmianie, pod warunkiem, że uda im się nakłonić administratora strony do wykonania akcji, takiej jak kliknięcie w link.
- CVE-2023-3203Średnie
Wtyczka MStore API dla WordPressa jest podatna na atak typu Cross-Site Request Forgery z powodu braku walidacji nonce w funkcji mstore_update_limit_product. Umożliwia to nieautoryzowanym atakującym aktualizację limitu produktów na kategorię za pomocą sfałszowanego żądania, o ile uda im się nakłonić administratora strony do wykonania akcji, takiej jak kliknięcie w link.
- CVE-2023-3201Średnie
Wtyczka MStore API dla WordPressa jest podatna na atak typu Cross-Site Request Forgery z powodu braku walidacji nonce w funkcji mstore_update_new_order_title. Umożliwia to nieautoryzowanym atakującym aktualizację tytułu nowego zamówienia za pomocą sfałszowanego żądania, jeśli uda im się nakłonić administratora strony do wykonania akcji, takiej jak kliknięcie w link.
- CVE-2023-3200Średnie
Wtyczka MStore API dla WordPressa jest podatna na atak typu Cross-Site Request Forgery z powodu braku walidacji nonce w funkcji mstore_update_new_order_message. Umożliwia to nieautoryzowanym atakującym aktualizację wiadomości o nowym zamówieniu za pomocą sfałszowanego żądania, jeśli uda im się nakłonić administratora strony do wykonania akcji, takiej jak kliknięcie w link.
- CVE-2023-3198Średnie
Wtyczka MStore API dla WordPressa jest podatna na atak typu Cross-Site Request Forgery z powodu braku walidacji nonce w funkcji mstore_update_status_order_message. Umożliwia to nieautoryzowanym atakującym aktualizację wiadomości statusu zamówienia poprzez sfałszowane żądanie, o ile uda im się nakłonić administratora strony do wykonania akcji, takiej jak kliknięcie w link.
Oryginalny opis (angielski, źródło NVD)
The MStore API plugin for WordPress is vulnerable to Cross-Site Request Forgery due to missing nonce validation on the mstore_update_status_order_title function. This makes it possible for unauthenticated attackers to update status order title via a forged request granted they can trick a site administrator into performing an action such as clicking on a link.