CVE-2023-3764
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 15 - wyżej niż 15% wszystkich znanych CVE
Streszczenie
Wtyczka WooCommerce PDF Invoice Builder dla WordPressa jest podatna na atak Cross-Site Request Forgery w wersjach do 1.2.90 włącznie. Problem wynika z braku lub nieprawidłowej walidacji nonce w funkcji zapisywania, co umożliwia nieautoryzowanym atakującym wprowadzanie zmian w fakturach poprzez sfałszowane żądania.
Ocena ryzyka
Atakujący mogą wykorzystać tę podatność do manipulacji fakturami, co może prowadzić do oszustw finansowych lub naruszenia integralności danych. Ryzyko wzrasta, gdy administratorzy są wprowadzani w błąd do wykonania określonych działań.
Rekomendacja
Zaleca się aktualizację wtyczki do najnowszej wersji, aby usunąć tę podatność. Dodatkowo, warto wprowadzić dodatkowe środki bezpieczeństwa, takie jak monitorowanie działań administratorów.
Oryginalny opis (angielski, źródło NVD)
The WooCommerce PDF Invoice Builder plugin for WordPress is vulnerable to Cross-Site Request Forgery in versions up to, and including, 1.2.90. This is due to missing or incorrect nonce validation on the Save function. This makes it possible for unauthenticated attackers to make changes to invoices via a forged request granted they can trick a site administrator into performing an action such as clicking on a link.