CVE-2024-8290

Nome do software vulnerável e versões afetadas:

WCFM – Frontend Manager for WooCommerce, versões até a 6.7.12, inclusive

Descrição:

O problema está relacionado a uma referência direta a objetos insegura, que afeta o WCFM – Frontend Manager for WooCommerce, bem como o plugin Bookings Subscription Listings Compatible para WordPress. Isso se deve à falta de validação na chave ID controlada pelo usuário na função WCFM Customers Manage Controller::processing. Como resultado, invasores autenticados com acesso de nível de assinante ou cliente e acima podem alterar o endereço de e-mail de contas de usuário administrador, permitindo que eles redefinam a senha e acessem a conta de administrador.

Recomendações:

Para versões até a 6.7.12, inclusive, considere desativar a função WCFM Customers Manage Controller::processing até que um patch esteja disponível para impedir a exploração. Restrinja o acesso às contas de administrador e monitore por qualquer atividade suspeita. Atualize para uma versão que inclua a correção para este problema assim que estiver disponível. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.