一、 漏洞 CVE-2024-8319 基础信息
漏洞标题
Tourfic <= 2.11.20 - 多个功能中的跨站请求伪造
来源：AIGC 神龙大模型
漏洞描述信息
WordPress的Tourfic插件在所有版本直至2.11.20都存在跨站请求伪造（Cross-Site Request Forgery，CSRF）漏洞。这是由于在tf_order_status_email_resend_function、tf_visitor_details_edit_function、tf_checkinout_details_edit_function、tf_order_status_edit_function、tf_order_bulk_action_edit_function、tf_remove_room_order_ids和tf_delete_old_review_fields函数中缺少或错误的nonce验证所致。这使得未经授权的攻击者可以通过伪造请求来重发订单状态电子邮件，更新访客/订单详细信息，编辑入住/退房详细信息，编辑订单状态，执行批量订单状态更新，移除房间订单ID，以及删除旧的评论字段，前提是他们能够诱使网站管理员执行诸如点击链接之类的操作。
来源：AIGC 神龙大模型
CVSS信息
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:N
来源：AIGC 神龙大模型
漏洞类别
跨站请求伪造(CSRF)
来源：AIGC 神龙大模型
漏洞标题
Tourfic <= 2.11.20 - Cross-Site Request Forgery in Multiple Functions
来源：美国国家漏洞数据库 NVD
漏洞描述信息
The Tourfic plugin for WordPress is vulnerable to Cross-Site Request Forgery in all versions up to, and including, 2.11.20. This is due to missing or incorrect nonce validation on the tf_order_status_email_resend_function, tf_visitor_details_edit_function, tf_checkinout_details_edit_function, tf_order_status_edit_function, tf_order_bulk_action_edit_function, tf_remove_room_order_ids, and tf_delete_old_review_fields functions. This makes it possible for unauthenticated attackers to resend order status emails, update visitor/order details, edit check-in/out details, edit order status, perform bulk order status updates, remove room order IDs, and delete old review fields, respectively, via a forged request granted they can trick a site administrator into performing an action such as clicking on a link.
来源：美国国家漏洞数据库 NVD
CVSS信息
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N
来源：美国国家漏洞数据库 NVD
漏洞类别
跨站请求伪造(CSRF)
来源：美国国家漏洞数据库 NVD
漏洞标题
WordPress plugin Tourfic 跨站请求伪造漏洞
来源：中国国家信息安全漏洞库 CNNVD
漏洞描述信息
WordPress和WordPress plugin都是WordPress基金会的产品。WordPress是一套使用PHP语言开发的博客平台。该平台支持在PHP和MySQL的服务器上架设个人博客网站。WordPress plugin是一个应用插件。 WordPress plugin Tourfic 2.11.20版本及之前版本存在跨站请求伪造漏洞，该漏洞源于多个函数中缺少或不正确的随机数验证。
来源：中国国家信息安全漏洞库 CNNVD
CVSS信息
N/A
来源：中国国家信息安全漏洞库 CNNVD
漏洞类别
跨站请求伪造
来源：中国国家信息安全漏洞库 CNNVD
二、漏洞 CVE-2024-8319 的公开POC
| # | POC 描述 | 源链接 | 神龙链接 |
|---|
