Podatności WC Vendors

Wtyczka WC Vendors dla WordPress przed wersją 2.7.2.1 nie weryfikuje własności ani typu obiektu identyfikatorów dostarczanych przez użytkownika podczas zapisywania wariantów produktów, co pozwala uwierzytelnionym użytkownikom z rolą sprzedawcy na modyfikowanie wariantów produktów należących do innych sprzedawców oraz zmianę statusu i tytułu dowolnych wpisów poprzez IDOR.

Wtyczka WC Vendors dla WordPress przed wersją 2.7.2.1 nie weryfikuje, czy sprzedawca wysyłający zmianę statusu wysyłki zamówienia z front-endu jest właścicielem danego zamówienia, co pozwala każdemu uwierzytelnionemu sprzedawcy oznaczyć zamówienie innego sprzedawcy jako wysłane, dodać notatkę do zamówienia fałszywie przypisaną ofierze oraz wywołać e-mail z powiadomieniem o wysyłce do klienta.

Wtyczka WC Vendors dla WordPress przed wersją 2.7.2.1 nie posiada ochrony CSRF na niektórych akcjach zmiany statusu wysyłki zamówień z front-endu, co może pozwolić atakującym na nakłonienie zalogowanego sprzedawcy do zmiany statusu wysyłki własnych zamówień za pomocą spreparowanego żądania.

Wtyczka WC Vendors dla WordPressa do wersji 2.7.0 włącznie jest podatna na ogólną iniekcję SQL przez parametr 'status'. Brak odpowiedniego escapowania i przygotowania zapytania SQL umożliwia uwierzytelnionym atakującym z dostępem na poziomie menedżera sklepu i wyżej dołączanie dodatkowych zapytań SQL, co może prowadzić do wyciągnięcia wrażliwych informacji z bazy danych.