Podatności Hippoo Mobile App for WooCommerce

Wtyczka Hippoo Mobile App for WooCommerce dla WordPressa w wersjach do 1.12.0 włącznie jest podatna na odbity cross-site scripting (XSS) poprzez parametr 'token_id' z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Nieuwierzytelniony atakujący może wstrzyknąć dowolne skrypty internetowe do stron, które wykonają się, jeśli uda się nakłonić użytkownika do wykonania akcji, takiej jak kliknięcie linku.

Wtyczka Hippoo Mobile App for WooCommerce (hippoo) zawiera podatność typu Reflected Cross-site Scripting (XSS) wynikającą z nieprawidłowej neutralizacji danych wejściowych podczas generowania stron internetowych. Podatność występuje w wersjach do 1.12.0 włącznie.

W aplikacji mobilnej Hippoo dla WooCommerce w wersjach do 1.9.5 występuje problem z nieautoryzowanym dostępem, który może prowadzić do naruszenia kontroli dostępu.

Wtyczka Hippoo Mobile App for WooCommerce dla WordPressa do wersji 1.7.1 jest podatna na arbitralny zapis plików z powodu braku autoryzacji. Punkt końcowy REST API `/wp-json/hippoo/v1/wc/token/save_callback/{token_id}` jest zarejestrowany z `permission_callback => '__return_true'`, co pozwala na nieautoryzowany dostęp. Niezautentykowani atakujący mogą zapisywać dowolną treść JSON do publicznie dostępnego katalogu upload na serwerze.