CVE-2025-13924
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 4 - wyżej niż 4% wszystkich znanych CVE
Streszczenie
Wtyczka Advanced Product Fields (Product Addons) for WooCommerce dla WordPress jest podatna na Cross-Site Request Forgery we wszystkich wersjach do 1.6.17 włącznie. Wynika to z braku lub nieprawidłowej walidacji nonce w funkcji 'maybe_duplicate'. Umożliwia to nieuwierzytelnionym atakującym duplikowanie i publikowanie grup pól produktów, w tym grup w wersji roboczej i oczekujących, poprzez sfałszowane żądanie, jeśli uda im się nakłonić administratora witryny do wykonania czynności, takiej jak kliknięcie linku.
Ocena ryzyka
Może prowadzić do nieautoryzowanego duplikowania i publikowania grup pól produktów, naruszając integralność danych.
Rekomendacja
Zaktualizuj wtyczkę Advanced Product Fields do wersji nowszej niż 1.6.17, aby naprawić walidację nonce.
Inne podatności w Advanced Product Fields (Product Addons) for WooCommerce
Oryginalny opis (angielski, źródło NVD)
The Advanced Product Fields (Product Addons) for WooCommerce plugin for WordPress is vulnerable to Cross-Site Request Forgery in all versions up to, and including, 1.6.17. This is due to missing or incorrect nonce validation on the 'maybe_duplicate' function. This makes it possible for unauthenticated attackers to duplicate and publish product field groups, including draft and pending field groups, via a forged request granted they can trick a site administrator into performing an action such as clicking on a link.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS