CVE-2023-3677

WysokieCVSS 8.8

Opublikowano: 31/08/2023(UTC)Zaktualizowano: 17/06/2026(UTC)Przetłumaczono: 18/06/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.62%

Percentyl 45 - wyżej niż 45% wszystkich znanych CVE

Streszczenie

Wtyczka WooCommerce PDF Invoice Builder dla WordPressa jest podatna na atak SQL Injection poprzez parametr pageId w wersjach do 1.2.89 włącznie, z powodu niewystarczającego zabezpieczenia dostarczonego przez użytkownika oraz braku odpowiedniego przygotowania istniejącego zapytania SQL.

Ocena ryzyka

Atakujący, posiadający uprawnienia subskrybenta lub wyższe, może wstrzykiwać dodatkowe zapytania SQL, co może prowadzić do wycieku wrażliwych informacji z bazy danych.

Rekomendacja

Zaleca się aktualizację wtyczki do najnowszej wersji, aby usunąć tę podatność oraz przegląd zabezpieczeń aplikacji w celu zminimalizowania ryzyka ataków SQL Injection.

Inne podatności w WooCommerce PDF Invoice Builder plugin

CVE-2023-3764Średnie
Wtyczka WooCommerce PDF Invoice Builder dla WordPressa jest podatna na atak Cross-Site Request Forgery w wersjach do 1.2.90 włącznie. Problem wynika z braku lub nieprawidłowej walidacji nonce w funkcji zapisywania, co umożliwia nieautoryzowanym atakującym wprowadzanie zmian w fakturach poprzez sfałszowane żądania.

Oryginalny opis (angielski, źródło NVD)

The WooCommerce PDF Invoice Builder plugin for WordPress is vulnerable to SQL Injection via the pageId parameter in versions up to, and including, 1.2.89 due to insufficient escaping on the user supplied parameter and lack of sufficient preparation on the existing SQL query. This makes it possible for subscribers or higher to append additional SQL queries into already existing queries that can be used to extract sensitive information from the database.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS