Das WordPress-Plugin HANDMADE – Dropshipping for Etsy and WooCommerce bis einschliesslich Version 1.0.10 verfügt über eine fehlende Berechtigungsprüfung (CWE-862). Laut CVE-Eintrag kann ein authentifizierter Benutzer mit niedrigen Berechtigungen möglicherweise Aktionen ausführen, die ihm nicht zustehen, was die Verfügbarkeit und Integrität von Daten im WooCommerce-Shop betreffen könnte. Der CVSS-Wert beträgt 7.1 (hoch), die genau betroffene Funktion und die erforderliche Berechtigungsstufe sind in den geprüften Quellen jedoch nicht dokumentiert.
VillaTheme · HANDMADE – Dropshipping for Etsy and WooCommerce
Das VillaTheme Salevo WordPress-Plugin (woo-boost-sales) bis und mit Version 1.3.0 enthält eine Code-Injection-Schwachstelle (CWE-94). Gemäss CVSS-3.1-Vektor der CNA könnte ein nicht authentifizierter Angreifer sie über das Netzwerk ohne Benutzerinteraktion ausnutzen, mit hohen Auswirkungen auf die Vertraulichkeit. Die Beschreibung ist allgemein gehalten und nennt die betroffene Komponente nicht, und der Vektor ist für eine Code-Injection-Schwachstelle fragwürdig, weshalb die tatsächlichen Auswirkungen nicht vollständig bestätigt sind.
VillaTheme · Salevo
Email Template Customizer for WooCommerce, ein WordPress-Plugin von VillaTheme, enthält eine Code-Injection-Schwachstelle (CWE-94) in den Versionen bis und mit 1.3.4. Gemäss CNA-Vektor könnte ein nicht authentifizierter Angreifer über das Netzwerk Inhalte einschleusen, die anschliessend verarbeitet werden, was unerwünschte Inhalte wie Werbung, Betrugs- oder Schadsoftware-Links auf der Website ermöglichen kann. Die genauen Voraussetzungen und die betroffene Funktion konnten im Advisory nicht verifiziert werden.
VillaTheme · Email Template Customizer for WooCommerce
Das WordPress-Plugin AFFI – Affiliate Marketing for WooCommerce bis und mit Version 1.0.10 deserialisiert nicht vertrauenswürdige Daten, was PHP Object Injection ermöglicht. Gemäss CNA kann ein nicht authentifizierter Angreifer dies über das Netzwerk mit geringer Komplexität und ohne Benutzerinteraktion ausnutzen, was die serverseitige Verarbeitung manipulieren kann und hohe Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit hat. Der Changelog des Herstellers deutet darauf hin, dass die Korrektur in Version 1.0.11 PHP-Serialisierung für Referral-Cookies durch signiertes JSON ersetzt.
VillaTheme · AFFI – Affiliate Marketing for WooCommerce
Das WordPress-Plugin Thank You Page Customizer for WooCommerce bis und mit Version 1.2.3 enthält eine Code-Injection-Schwachstelle (CWE-94), die Content Injection auf der Dankeseite nach einer Bestellung ermöglicht. Laut Patchstack kann ein Angreifer unerwünschte Inhalte wie Werbung, Betrugstexte oder Malware-Links auf betroffenen Seiten einschleusen. Der CVSS-3.1-Wert beträgt 7.5, es sind keine Berechtigungen und keine Benutzerinteraktion nötig, die Auswirkung wird jedoch nur auf die Vertraulichkeit angegeben. Version 1.2.4 behebt das Problem.
VillaTheme · Thank You Page Customizer for WooCommerce
Das WordPress-Plugin Photo Reviews for WooCommerce bereinigt beziehungsweise escaped den Parameter 'wcpr_image_upload_id' bis einschliesslich Version 1.2.30 nicht. Ein nicht angemeldeter Besucher kann ein Skript in den Comment Meta einer Bewertung speichern, das nicht durch wp_kses gefiltert wird, und es wird im Browser jeder Person ausgeführt, die die betroffene Bewertung anzeigt. Einzige Hürde ist ein Nonce, der in jedem Produktbewertungsformular ausgegeben wird; eine Authentifizierungs- oder Berechtigungsprüfung findet nicht statt.
VillaTheme · Photo Reviews for WooCommerce
Das WordPress-Plugin Photo Reviews for WooCommerce speichert vom Angreifer gelieferte Post-IDs zusammen mit Kundenbewertungen und prüft nicht, ob sie dem Absender gehören. Wenn ein Administrator die Bewertung später löscht oder WordPress den Kommentar-Papierkorb nach 30 Tagen leert, entfernt das Plugin jede gespeicherte Post-ID dauerhaft. Ein nicht angemeldeter Besucher kann so den Verlust von Beiträgen, Seiten, Produkten oder Medienanhängen verursachen, die Lücke legt jedoch keine vertraulichen Daten offen. Der Angriff setzt voraus, dass eine Bewertung gelöscht wird, was bei der üblichen Moderation regelmässig geschieht.
VillaTheme · Photo Reviews for WooCommerce
Photo Reviews for WooCommerce bis einschliesslich Version 1.2.30 enthält eine unsichere direkte Objektreferenz (CWE-639). Laut Patchstack kann ein nicht authentifizierter Angreifer aus der Ferne eine ID in einer Anfrage ändern und dadurch Daten anderer Personen offenlegen, während der CVSS-Vektor nur die Auswirkung auf die Verfügbarkeit (A:H) bewertet. Für den Angriff sind weder eine Anmeldung noch eine Benutzerinteraktion nötig, weshalb öffentliche WooCommerce-Shops mit diesem Plugin gefährdet sind.
VillaTheme · Photo Reviews for WooCommerce
Das WordPress-Plugin BuildKit – Product Builder for WooCommerce – Custom PC Builder bis und mit Version 1.0.28 enthält eine Blind SQL Injection-Schwachstelle. Ein Angreifer mit niedrigen Berechtigungen auf der WordPress-Seite, etwa ein Konto auf Beitragenden-Stufe, kann unter Umständen Datenbankinhalte lesen, verändern oder löschen, einschliesslich Benutzer- und Kundendaten. Die NVD-Analyse steht noch aus, und der Hersteller hat die Zuordnung dieser CVE zur Korrektur in Version 1.0.29 noch nicht bestätigt.
VillaTheme · BuildKit – Product Builder for WooCommerce
