CVE-2024-0433

Plugin Gestpay for WooCommerce para o WordPress, versões até e incluindo a 20221130

O problema está relacionado a Cross-Site Request Forgery devido à falta ou à validação incorreta do nonce na função ajax unset default card. Isso permite que invasores não autenticados removam o status padrão de um token de cartão de um usuário por meio de uma solicitação falsificada, desde que consigam induzir um administrador do site a realizar uma ação, como clicar em um link.

Para versões até e incluindo 20221130, considere desativar a função ajax unset default card como uma solução temporária até que um patch esteja disponível. Restrinja o acesso a essa função para minimizar o risco de exploração. Evite usar essa função no plugin afetado até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.