CVE-2023-4245
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 34 - wyżej niż 34% wszystkich znanych CVE
Streszczenie
WooCommerce PDF Invoice Builder dla WordPressa jest podatny na nieautoryzowany dostęp do danych z powodu braku sprawdzenia uprawnień w funkcji GetInvoiceDetail w wersjach do 1.2.89 włącznie. Umożliwia to subskrybentom przeglądanie dowolnych faktur, pod warunkiem, że zgadną identyfikator zamówienia i identyfikator faktury.
Ocena ryzyka
Organizacja może być narażona na ujawnienie poufnych informacji finansowych, co może prowadzić do naruszenia prywatności klientów oraz potencjalnych strat finansowych.
Rekomendacja
Zaleca się aktualizację WooCommerce PDF Invoice Builder do najnowszej wersji, aby usunąć tę podatność oraz wdrożenie dodatkowych mechanizmów zabezpieczeń, aby ograniczyć dostęp do danych faktur.
Oryginalny opis (angielski, źródło NVD)
The WooCommerce PDF Invoice Builder for WordPress is vulnerable to unauthorized access of data due to a missing capability check on the GetInvoiceDetail function in versions up to, and including, 1.2.89. This makes it possible for subscribers to view arbitrary invoices provided they can guess the order id and invoice id.