Vulnerabilidad en TastyIgniter 3.7.6 (CVE-2024-44314)

Gravedad CVSS v3.1:

MEDIA

Tipo:

CWE-285 Autorización incorrecta

Fecha de publicación:

18/03/2025

Última modificación:

02/04/2025

Descripción

TastyIgniter 3.7.6 contiene una vulnerabilidad de control de acceso incorrecto en el sistema de gestión de pedidos, que permite a usuarios no autorizados actualizar el estado de los pedidos. El problema se produce en la función index_onUpdateStatus() de Orders.php, que no verifica si el usuario tiene permiso para modificar el estado de un pedido. Esta vulnerabilidad puede explotarse remotamente, lo que permite la manipulación no autorizada de pedidos.

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:N CVSS v3.1 Severidad y Métricas:

Puntuación base: 6.50 MEDIA
Vector: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Bajo
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Ninguno
Impacto a la integridad (I): Alto
Impacto a la disponibilidad (A): Ninguno