CVE-2024-0432

Plugin Gestpay for WooCommerce para o WordPress, versões até e incluindo a 20221130

O problema está relacionado a Cross-Site Request Forgery devido à falta ou à validação incorreta do nonce na função ajax delete card. Isso permite que invasores não autenticados excluam o token de cartão padrão de um usuário por meio de uma solicitação falsificada, desde que consigam induzir um administrador do site a realizar uma ação, como clicar em um link.

Para versões até e incluindo a 20221130, considere desativar a função ajax delete card como uma solução temporária até que um patch esteja disponível. Restrinja o acesso à função afetada para minimizar o risco de exploração. Evite usar a função afetada em tarefas administrativas até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.