Плагин E-cab Taxi Booking Manager для Woocommerce WordPress до версии 2.0.5 не проверяет указанное клиентом расстояние поездки и значение базовой цены на сервере перед оценкой бронирования, что позволяет неаутентифицированным злоумышленникам манипулировать общей суммой заказа до нуля и размещать реальные заказы на заказ такси по произвольной цене.
Показать оригинальное описание (EN)
The E-cab Taxi Booking Manager for Woocommerce WordPress plugin before 2.0.5 does not validate a client-supplied trip distance and base-price value on the server before pricing a booking, allowing unauthenticated attackers to manipulate the order total down to zero and place real taxi-booking orders at an arbitrary price.
Характеристики атаки
Способ атаки
По сети
Атака возможна удалённо
Сложность
Низкая
Легко эксплуатировать
Нужны права
Не требуются
Права не нужны
Участие пользователя
Не требуется
Не нужно действие пользователя
Последствия
Конфиденциальность
Нет
Нет утечки данных
Целостность
Низкое
Частичная модификация данных
Доступность
Нет
Нет нарушения работы
Строка CVSS v3.1