Vulnerabilidad en MStore para WordPress (CVE-2023-3277)

Gravedad CVSS v3.1:

CRÍTICA

Tipo:

No Disponible / Otro tipo

Fecha de publicación:

03/11/2023

Última modificación:

13/11/2023

Descripción

El complemento API de MStore para WordPress es vulnerable al acceso no autorizado a cuentas y a la escalada de privilegios en versiones hasta la 4.10.7 incluida debido a una implementación incorrecta de la función de inicio de sesión de Apple. Esto permite a atacantes no autenticados iniciar sesión como cualquier usuario siempre que conozcan la dirección de correo electrónico del usuario. Estamos divulgando este problema porque el desarrollador aún no ha lanzado un parche, pero continúa lanzando actualizaciones y escalamos este problema al equipo del complemento hace 30 días.

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H CVSS v3.1 Severidad y Métricas:

Puntuación base: 9.80 CRÍTICA
Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Alto
Impacto a la integridad (I): Alto
Impacto a la disponibilidad (A): Alto