CVE-2024-9821
Bot pour Telegram sur WooCommerce <= 1.2.7 - Divulgation du jeton du bot Telegram authentifiée (Abonné+) menant à un contournement de l'authentification
- Publié
- 12 oct. 2024
- Mise à jour
- 8 avr. 2026
- Attribution de CNA
- Wordfence
- Preuve observée
- 5 août 2026
CVSS primaire
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:HFaible · 30 prochains jours
- Percentile
- 66,4 %
- Date du modèle
- 17 oct. 2026
EPSS est une estimation statistique, et non une certitude ou une mesure d'impact. Combinez-le avec CVSS, le statut KEV, l'exposition et votre environnement.
Résumé
Le plugin Bot for Telegram on WooCommerce pour WordPress est vulnérable à la divulgation d'informations sensibles en raison de l'absence de contrôles d'autorisation sur l'action AJAX 'stm_wpcfto_get_settings' dans toutes les versions jusqu'à la version 1.2.7 incluse. Cela permet à des attaquants authentifiés, disposant d'un accès de niveau abonné et supérieur, de consulter le jeton du bot Telegram, un jeton secret utilisé pour contrôler le bot, qui peut ensuite être utilisé pour se connecter en tant que n'importe quel utilisateur existant du site, tel qu'un administrateur, s'ils connaissent le nom d'utilisateur, grâce à la fonctionnalité Login with Telegram.
Sources
- CVE-2024-9821Exploit
Bot pour Telegram sur WooCommerce <= 1.2.4 - Divulgation authentifiée (Subscriber+) du jeton du bot Telegram menant à un contournement d'authentification
Utilisation responsable
Utilisez les informations de vulnérabilité uniquement sur les systèmes que vous possédez ou que vous êtes autorisé à tester. Kitploit renvoie aux métadonnées de la recherche publique et ne stocke pas de code d'exploitation ni de charges utiles malveillantes.