یک آسیب‌پذیری با شناسه CVE-2024-9927 و شدت 7.2 (بالا) در افزونه WooCommerce Order Proposal کشف شده است، که از طریق پیشنهاد سفارش و اجرای نادرست تابع در allow_payment_without_login ایجاد می‌شود. مهاجم به راحتی می‌تواند با یک حساب کاربری دلخواه، به سطح دسترسی به عنوان مدیر یک فروشگاه برسد.
براساس بردار حمله این آسیب‌پذیری CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H: بهره‌برداری از آن از طریق شبکه خارجی و از راه دور امکان‌پذیر است (AV:N)، بهره‌برداری از این آسیب‌پذیری به‌راقابل تکرار است و چندان به شرایط خاصی نیاز نیست(AC:L)، مهاجم برای انجام حمله نیاز به حساب کاربری با سطح دسترسی بالایی می‌باشد (PR:H) و به تعامل با کاربر نیاز ندارد (UI:N)، بهره‌برداری از آسیب‌پذیری مذکور بر سایر منابع امنیتی تأثیر نمی‌گذارد (S:U) و سه ضلع امنیت به با شدت بالا تحت تأثیر قرار می‌گیرند. (C:H و I:H و A:H)
محصولات تحت تأثیر
این آسیب‌پذیری تمام نسخه ها را تا نسخه 2.0.5 تحت تاثیر قرار می‌دهد.
توصیه امنیتی
تا به حال راهکاری جهت رفع این آسیب‌پذیری ارائه نشده است.
منابع خبر:
[1]https://nvd.nist.gov/vuln/detail/CVE-2024-9927
[2]https://www.wordfence.com/threat-intel/vulnerabilities/wordpress-plugins/wooCommerce-order-proposal…
- 79