WooCommerce Amazon Affiliates - Wordpress Plugin < 14.1.00 - Escalada de Privilégios Autenticada (Subscriber+)

A exploração bem-sucedida desta vulnerabilidade permite que um atacante com acesso de assinante ou superior obtenha privilégios administrativos no site WordPress. Isso pode resultar em acesso não autorizado a dados confidenciais, modificação de conteúdo, instalação de software malicioso e controle total sobre o site. O impacto é significativo, pois compromete a integridade e a confidencialidade do site e dos dados dos usuários. Um atacante poderia, por exemplo, alterar as configurações do plugin, desativar medidas de segurança ou até mesmo injetar código malicioso para comprometer outros sistemas na rede.

Websites utilizing the WooCommerce Amazon Affiliates plugin, particularly those with a large number of subscriber-level users or those lacking robust access control mechanisms, are at significant risk. Shared hosting environments where plugin updates are managed by the hosting provider are also vulnerable if they have not yet applied the patch.

• wordpress / composer / npm:

wp plugin list --status=active | grep 'WooCommerce Amazon Affiliates'

• wordpress / composer / npm:

wp plugin update --all

• wordpress / composer / npm:

wp plugin status | grep 'WooCommerce Amazon Affiliates'

• wordpress / composer / npm:

wp plugin list --all | grep 'WooCommerce Amazon Affiliates' | awk '{print $1}' | sort -n

1. 2024-04-25Disclosure

   disclosure

1. Reservado2024-04-24
2. Publicada2024-04-25
3. Modificada2026-02-26
4. EPSS atualizado2026-04-02

A mitigação primária é atualizar o plugin WooCommerce Amazon Affiliates para a versão 14.1.00 ou superior. Se a atualização imediata não for possível devido a problemas de compatibilidade, considere restringir o acesso de usuários com permissões de assinante ou superiores. Implemente revisões regulares de permissões de usuário para identificar e remover contas desnecessárias. Monitore os logs do WordPress em busca de atividades suspeitas, como tentativas de acesso não autorizado a áreas administrativas. Se possível, utilize um plugin de segurança do WordPress para reforçar a segurança do site e detectar atividades maliciosas.