CVE-2023-4245
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 34 - wyżej niż 34% wszystkich znanych CVE
Streszczenie
WooCommerce PDF Invoice Builder dla WordPressa jest podatny na nieautoryzowany dostęp do danych z powodu braku sprawdzenia uprawnień w funkcji GetInvoiceDetail w wersjach do 1.2.89 włącznie. Umożliwia to subskrybentom przeglądanie dowolnych faktur, pod warunkiem, że zgadną identyfikator zamówienia i identyfikator faktury.
Ocena ryzyka
Organizacja może być narażona na ujawnienie poufnych informacji finansowych, co może prowadzić do naruszenia prywatności klientów oraz potencjalnych strat finansowych.
Rekomendacja
Zaleca się aktualizację WooCommerce PDF Invoice Builder do najnowszej wersji, aby usunąć tę podatność oraz wdrożenie dodatkowych mechanizmów zabezpieczeń, aby ograniczyć dostęp do danych faktur.
Inne podatności w WooCommerce PDF Invoice Builder
Zobacz wszystkie- CVE-2026-52704Krytyczne
W podatności CVE-2026-52704 występuje niewłaściwa kontrola generowania kodu w WooCommerce PDF Invoice Builder, co pozwala na zdalne wstrzykiwanie kodu. Problem ten dotyczy wersji od n/a do 2.0.8.
- CVE-2026-57393Średnie
Wtyczka WooCommerce PDF Invoice Builder do WordPressa (wersje do 2.0.8) ujawnia poufne dane systemowe nieupoważnionym podmiotom. Podatność pozwala na odzyskanie osadzonych danych wrażliwych.
- CVE-2023-4161Średnie
Wtyczka WooCommerce PDF Invoice Builder dla WordPressa jest podatna na atak Cross-Site Request Forgery z powodu braku weryfikacji nonce w funkcji SaveCustomField w wersjach do 1.2.90 włącznie. Umożliwia to nieautoryzowanym atakującym tworzenie pól faktur, o ile uda im się nakłonić administratora do wykonania akcji, takiej jak kliknięcie w link.
Oryginalny opis (angielski, źródło NVD)
The WooCommerce PDF Invoice Builder for WordPress is vulnerable to unauthorized access of data due to a missing capability check on the GetInvoiceDetail function in versions up to, and including, 1.2.89. This makes it possible for subscribers to view arbitrary invoices provided they can guess the order id and invoice id.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS