WP Customer Area < 8.2.1 - Subscriber+ Account Address Leak

Затронутые версии

Диапазоны версий NVD (для продуктов из каталога). Добавьте продукт в стек с версией, и сопоставление будет по ним.

• marvinlabs wp customer areaдо 8.2.1

Версии, заявленные вендором

Диапазоны затронутых версий, заявленные назначающей организацией (WPScan). Не зависят от анализа CPE в NVD и обычно опережают его.

• Unknown WP Customer Area

  • до 8.2.1затронута · semver

Другие записи с наивысшей оценкой для того же основного продукта.

• CVE-2024-0665WP Customer Area <= 8.2.2 - Reflected Cross-Site Scripting
  24Наблюдать
• CVE-2017-18519The customer-area plugin before 7.4.3 for WordPress has XSS via admin pages.
  24Наблюдать
• CVE-2024-12436WP Customer Area <= 8.2.4 - Bulk Delete via CSRF
  17Наблюдать
• CVE-2024-12280WP Customer Area <= 8.2.4 - Event Log Deletion via CSRF
  17Наблюдать
• CVE-2023-6741WP Customer Area < 8.2.1 - Subscriber+ Account Address Update
  17Наблюдать

Ежедневная оценка FIRST EPSS; записываются только изменения от 0,01 (ступенчатый график).

Первопричина

Эндпоинт получает запись по идентификатору из запроса, но не проверяет, принадлежит ли она запрашивающему пользователю.

Показательный пример этого класса уязвимостей. Это не исходный код вендора; показан ошибочный шаблон и его исправление.

1const invoice = await Invoice.findById(req.params.id);2res.json(invoice);

1const invoice = await Invoice.findOne({2  id: req.params.id,3  ownerId: req.user.id,4});5if (!invoice) return res.sendStatus(404);6res.json(invoice);

Контекст атаки

Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.

У MITRE нет сопоставления CAPEC/ATT&CK для этого CWE.