CVE-2024-9289

WordPress & WooCommerce Affiliate Program <= 8.4.1 - Authentication Bypass to Account Takeover and Privilege Escalation

CVSS 3.1Critical

9.8/ 10.0

Опубликовано

1 октября 2024 г.

Обновлено

8 апреля 2026 г.

В атаках

Не зафиксировано

Публичный PoC

Отсутствует

Анализ подготовлен:CVE Futuretools Threat Intelligence

Верификация: MITRE CVE List · CISA KEV · NIST NVD

ОФИЦИАЛЬНЫЙ ПАТЧ НЕ ОПУБЛИКОВАН

Обновите плагин WordPress & WooCommerce Affiliate Program до версии выше 8.4.1.

01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ

Критический обход аутентификации в плагине WordPress & WooCommerce Affiliate Program. Позволяет захватить учетную запись администратора, зная только его email.

02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ

Функция rtwwwap_login_request_callback() выполняет аутентификацию на сайте без надлежащей проверки подлинности пользователя и без валидации сессии, пароля или токена при обработке внешнего запроса на вход.

03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ

Полный захват учетных записей любых пользователей сайта, включая аккаунты с ролью администратора, и получение полного контроля над WordPress и WooCommerce.

04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ

RedefiningTheWebWordPress & WooCommerce Affiliate Program

>= 0➔Патч не выпущен

05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (2)

www.wordfence.comhttps://www.wordfence.com/threat-intel/vulnerabilities/id/ed19835f-2718-41d8-95af-47c8b9589529?source=cve
codecanyon.nethttps://codecanyon.net/item/wordpress-woocommerce-affiliate-program/23580333

06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК

Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:

Библиографическая ссылка (Plain text)

CVE Futuretools (2026). Анализ уязвимости CVE-2024-9289: WordPress & WooCommerce Affiliate Program <= 8.4.1 - Authentication Bypass to Account Takeover and Privilege Escalation. URL: https://cve.futuretools.ru/cve/CVE-2024-9289

BibTeX формат (LaTeX)

@misc{cve_futuretools_cve_2024_9289,
  title = {{CVE-2024-9289: WordPress & WooCommerce Affiliate Program <= 8.4.1 - Authentication Bypass to Account Takeover and Privilege Escalation}},
  author = {{CVE Futuretools}},
  year = {2026},
  howpublished = {\url{https://cve.futuretools.ru/cve/CVE-2024-9289}},
  note = {Оперативный инженерный анализ киберугроз}
}