CVE-2023-3201
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 23 - wyżej niż 23% wszystkich znanych CVE
Streszczenie
Wtyczka MStore API dla WordPressa jest podatna na atak typu Cross-Site Request Forgery z powodu braku walidacji nonce w funkcji mstore_update_new_order_title. Umożliwia to nieautoryzowanym atakującym aktualizację tytułu nowego zamówienia za pomocą sfałszowanego żądania, jeśli uda im się nakłonić administratora strony do wykonania akcji, takiej jak kliknięcie w link.
Ocena ryzyka
Atakujący mogą wykorzystać tę podatność do zmiany tytułów zamówień, co może prowadzić do dezinformacji lub oszustw w systemie zamówień. Ryzyko wzrasta, jeśli administratorzy są nieostrożni w klikaniu w linki.
Rekomendacja
Zaleca się wprowadzenie walidacji nonce w funkcji mstore_update_new_order_title oraz aktualizację wtyczki do najnowszej wersji, aby zniwelować tę podatność.
Oryginalny opis (angielski, źródło NVD)
The MStore API plugin for WordPress is vulnerable to Cross-Site Request Forgery due to missing nonce validation on the mstore_update_new_order_title function. This makes it possible for unauthenticated attackers to update new order title via a forged request granted they can trick a site administrator into performing an action such as clicking on a link.