CVE-2023-3200
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 23 - wyżej niż 23% wszystkich znanych CVE
Streszczenie
Wtyczka MStore API dla WordPressa jest podatna na atak typu Cross-Site Request Forgery z powodu braku walidacji nonce w funkcji mstore_update_new_order_message. Umożliwia to nieautoryzowanym atakującym aktualizację wiadomości o nowym zamówieniu za pomocą sfałszowanego żądania, jeśli uda im się nakłonić administratora strony do wykonania akcji, takiej jak kliknięcie w link.
Ocena ryzyka
Atakujący mogą wykorzystać tę podatność do manipulacji wiadomościami o zamówieniach, co może prowadzić do utraty zaufania klientów oraz potencjalnych strat finansowych dla organizacji.
Rekomendacja
Zaleca się wdrożenie walidacji nonce w funkcji mstore_update_new_order_message oraz regularne aktualizowanie wtyczek WordPressa, aby zminimalizować ryzyko.
Oryginalny opis (angielski, źródło NVD)
The MStore API plugin for WordPress is vulnerable to Cross-Site Request Forgery due to missing nonce validation on the mstore_update_new_order_message function. This makes it possible for unauthenticated attackers to update new order message via a forged request granted they can trick a site administrator into performing an action such as clicking on a link.