CVE-2024-3962

Plugin “Product Addons & Fields for WooCommerce” para o WordPress, versões até a 32.0.18, inclusive

O problema está relacionado à falta de validação do tipo de arquivo na função ppom upload file, permitindo que invasores não autenticados enviem arquivos arbitrários para o servidor do site afetado. Isso poderia potencialmente levar à execução remota de código. A exploração bem-sucedida requer que o plugin PPOM Pro esteja instalado juntamente com um produto WooCommerce que contenha um campo de envio de arquivos para recuperar o nonce correto.

Para versões até a 32.0.18, inclusive, considere desativar a função ppom upload file até que um patch esteja disponível para impedir uploads arbitrários de arquivos.

Restrinja o acesso ao campo de upload de arquivos nos produtos do WooCommerce para minimizar o risco de exploração.

No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.