Плагин «Список желаний для WooCommerce: несколько списков желаний для каждого клиента» для WordPress уязвим к подделке межсайтовых запросов во всех версиях до 3.1.7 включительно. Это связано с отсутствием или неправильной проверкой nonce в функции save_to_multiple_wishlist. Это позволяет неаутентифицированным злоумышленникам обновлять настройки и внедрять вредоносные веб-скрипты с помощью поддельного запроса, при условии, что они могут обманом заставить администратора сайта выполнить такое действие, как нажатие на ссылку.
Показать оригинальное описание (EN)
The Wishlist for WooCommerce: Multi Wishlists Per Customer plugin for WordPress is vulnerable to Cross-Site Request Forgery in all versions up to, and including, 3.1.7. This is due to missing or incorrect nonce validation on the 'save_to_multiple_wishlist' function. This makes it possible for unauthenticated attackers to update settings and inject malicious web scripts via a forged request granted they can trick a site administrator into performing an action such as clicking on a link.
Характеристики атаки
Последствия
Строка CVSS v3.1
Тип уязвимости (CWE)
Уязвимые продукты 1
| Конфигурация | От (включительно) | До (исключительно) |
|---|---|---|
|
Wpfactory Wishlist_For_Woocommerce
cpe:2.3:a:wpfactory:wishlist_for_woocommerce:*:*:*:*:*:wordpress:*:*
|
— |
3.1.8
|