CVE-2024-9821
Açıklama
WordPress için Bot for Telegram on WooCommerce eklentisinin 1.2.7 dahil tüm sürümleri, 'stm_wpcfto_get_settings' AJAX işlemindeki yetkilendirme kontrollerinin eksikliği nedeniyle hassas bilgi ifşasına karşı savunmasızdır. Bu durum, abone düzeyinde ve üzeri erişime sahip kimliği doğrulanmış saldırganların, botu kontrol etmek için kullanılan gizli bir belirteç olan Telegram Bot Token'ı görüntülemesini mümkün kılar; bu belirteç daha sonra, Login with Telegram özelliği sayesinde, kullanıcı adını bildikleri takdirde yönetici gibi sitedeki mevcut herhangi bir kullanıcı olarak giriş yapmak için kullanılabilir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| guruteam Bot for Telegram on WooCommerce | v ≤ 1.2.7 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.