Podatności MStore API plugin for WordPress

Wtyczka MStore API dla WordPressa jest podatna na nieautoryzowaną ślepą injekcję SQL poprzez parametr 'id' w wersjach do 4.0.1 włącznie, z powodu niewystarczającego zabezpieczenia parametrów dostarczanych przez użytkownika oraz braku odpowiedniego przygotowania istniejącego zapytania SQL.

Wtyczka MStore API dla WordPressa jest podatna na atak typu Cross-Site Request Forgery z powodu braku walidacji nonce w funkcji mstore_update_firebase_server_key. Umożliwia to nieautoryzowanym atakującym aktualizację klucza serwera Firebase do powiadomień push, gdy status zamówienia ulegnie zmianie, pod warunkiem, że uda im się nakłonić administratora strony do wykonania akcji, takiej jak kliknięcie w link.

Wtyczka MStore API dla WordPressa jest podatna na atak typu Cross-Site Request Forgery z powodu braku walidacji nonce w funkcji mstore_update_status_order_title. Umożliwia to nieautoryzowanym atakującym aktualizację tytułu statusu zamówienia za pomocą sfałszowanego żądania, jeśli uda im się nakłonić administratora strony do wykonania akcji, takiej jak kliknięcie w link.

Wtyczka MStore API dla WordPressa jest podatna na atak typu Cross-Site Request Forgery z powodu braku walidacji nonce w funkcji mstore_update_limit_product. Umożliwia to nieautoryzowanym atakującym aktualizację limitu produktów na kategorię za pomocą sfałszowanego żądania, o ile uda im się nakłonić administratora strony do wykonania akcji, takiej jak kliknięcie w link.

Wtyczka MStore API dla WordPressa jest podatna na atak typu Cross-Site Request Forgery z powodu braku walidacji nonce w funkcji mstore_update_new_order_title. Umożliwia to nieautoryzowanym atakującym aktualizację tytułu nowego zamówienia za pomocą sfałszowanego żądania, jeśli uda im się nakłonić administratora strony do wykonania akcji, takiej jak kliknięcie w link.

Wtyczka MStore API dla WordPressa jest podatna na atak typu Cross-Site Request Forgery z powodu braku walidacji nonce w funkcji mstore_update_new_order_message. Umożliwia to nieautoryzowanym atakującym aktualizację wiadomości o nowym zamówieniu za pomocą sfałszowanego żądania, jeśli uda im się nakłonić administratora strony do wykonania akcji, takiej jak kliknięcie w link.

Wtyczka MStore API dla WordPressa jest podatna na atak typu Cross-Site Request Forgery z powodu braku walidacji nonce w funkcji mstore_update_status_order_message. Umożliwia to nieautoryzowanym atakującym aktualizację wiadomości statusu zamówienia poprzez sfałszowane żądanie, o ile uda im się nakłonić administratora strony do wykonania akcji, takiej jak kliknięcie w link.