CVE-2024-10854丨一键购买 WooCommerce <= 2.2.9 - 缺少对经过身份验证（订阅者+）设置导入的授权

2024年11月14日 256点热度 0人点赞 0条评论

CVE编号

CVE-2024-10854

利用情况

暂无

补丁情况

N/A

披露时间

2024-11-13

WordPress的Buy one click WooCommerce插件存在数据未经授权修改的风险，这主要是因为buy_one_click_import_options AJAX动作缺少能力检查，包括所有版本至2.2.9。这使得拥有订阅者级别及以上访问权限的认证攻击者能够导入插件设置。

建议您更新当前系统或软件至最新版，完成漏洞的修复。

参考链接
https://wordpress.org/plugins/buy-one-click-woocommerce/
https://www.wordfence.com/threat-intel/vulnerabilities/id/b3d9b755-1e6e-44ac-...