CVE-2024-10853丨一键购买 WooCommerce <= 2.2.9 - 缺少对经过身份验证的（订阅者+）订单删除的授权

2024年11月14日 150点热度 0人点赞 0条评论

CVE编号

CVE-2024-10853

利用情况

暂无

补丁情况

N/A

披露时间

2024-11-13

WordPress的Buy one click WooCommerce插件存在数据未经授权修改的风险，这主要是由于在删除订单AJAX操作中缺少权限检查，包括所有版本至并包括2.2.9。这使得拥有订阅者级别及以上权限的认证攻击者有可能删除Buy one click WooCommerce订单。

建议您更新当前系统或软件至最新版，完成漏洞的修复。

参考链接
https://wordpress.org/plugins/buy-one-click-woocommerce/
https://www.wordfence.com/threat-intel/vulnerabilities/id/ad73f105-fea8-4bbe-...