CVE-2024-7386

O plugin “The Premium Packages – Sell Digital Products Securely” para versões do WordPress até a 5.9.1, inclusive

O problema está relacionado a Cross-Site Request Forgery devido à falta de validação de nonce nas funções addRefund() e wpdmpp async request(). Isso permite que invasores não autenticados realizem ações, como iniciar reembolsos, por meio de uma solicitação falsificada, caso consigam induzir um administrador do site ou gerente da loja a realizar uma ação como clicar em um link.

Para versões até a 5.9.1, inclusive, considere desativar as funções addRefund() e wpdmpp async request() até que um patch esteja disponível para impedir a exploração. Restrinja o acesso a áreas confidenciais do site para minimizar o risco de invasores induzirem administradores a realizar ações maliciosas.