Podatności Flexible Refund and Return Order for WooCommerce

Wtyczka Flexible Refund and Return Order for WooCommerce do wersji 1.0.51 zawiera podatność na trwałe ataki XSS (Stored Cross-Site Scripting) poprzez niewłaściwe neutralizowanie danych wejściowych podczas generowania stron. Atakujący może wstrzyknąć złośliwy skrypt, który zostanie wykonany w przeglądarkach innych użytkowników.

Wtyczka Flexible Refund and Return Order for WooCommerce dla WordPressa jest podatna na nieautoryzowaną modyfikację danych z powodu błędnie skonfigurowanej kontroli uprawnień w funkcji 'create_refund' we wszystkich wersjach do 1.0.42 włącznie. Uwierzytelnieni atakujący z poziomem dostępu Contributor i wyższym mogą aktualizować status żądań zwrotu, w tym zatwierdzać i odrzucać zwroty.

Wtyczka Flexible Refund and Return Order for WooCommerce dla WordPressa jest podatna na brak autoryzacji we wszystkich wersjach do 1.0.38 włącznie, poprzez funkcję save_refund_request(). Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie subskrybenta i wyżej składanie wniosków o zwrot dla dowolnych zamówień, których nie posiadają.