CVE-2025-13452

Nome do Software Vulnerável e Versões Afetadas Admin and Customer Messages After Order for WooCommerce: Plugin OrderConvo para WordPress versões até e incluindo a 14

Descrição O software está suscetível a um problema de falta de autorização. Uma verificação de permissão falha no callback de permissão da REST API permite que atacantes contornem a autenticação quando nenhum nonce é fornecido. Isso permite que atacantes não autenticados se passem por qualquer usuário do WordPress e injetem mensagens arbitrárias em qualquer conversa de pedido do WooCommerce. Os atacantes podem conseguir isso chamando diretamente o endpoint REST com os parâmetros controlados user id, order id e context.

Recomendações Versões até e incluindo a 14 devem ser atualizadas.