CVE-2023-3203
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 23 - wyżej niż 23% wszystkich znanych CVE
Streszczenie
Wtyczka MStore API dla WordPressa jest podatna na atak typu Cross-Site Request Forgery z powodu braku walidacji nonce w funkcji mstore_update_limit_product. Umożliwia to nieautoryzowanym atakującym aktualizację limitu produktów na kategorię za pomocą sfałszowanego żądania, o ile uda im się nakłonić administratora strony do wykonania akcji, takiej jak kliknięcie w link.
Ocena ryzyka
Atakujący mogą wykorzystać tę podatność do manipulacji danymi na stronie, co może prowadzić do nieautoryzowanych zmian w konfiguracji produktów. To stwarza ryzyko utraty zaufania użytkowników oraz potencjalnych strat finansowych.
Rekomendacja
Zaleca się wdrożenie walidacji nonce w funkcji mstore_update_limit_product oraz regularne aktualizowanie wtyczek WordPressa, aby zminimalizować ryzyko ataków. Dodatkowo, administratorzy powinni być ostrożni przy klikaniu w linki z nieznanych źródeł.
Oryginalny opis (angielski, źródło NVD)
The MStore API plugin for WordPress is vulnerable to Cross-Site Request Forgery due to missing nonce validation on the mstore_update_limit_product function. This makes it possible for unauthenticated attackers to update limit the number of product per category to use cache data in home screen via a forged request granted they can trick a site administrator into performing an action such as clicking on a link.