Luka w WooCommerce Smart Coupons umożliwia nieautoryzowane przyznawanie kuponów

Co wiadomo

Wtyczka WooCommerce Smart Coupons dla WordPressa do wersji 4.6.0 ma lukę pozwalającą na ominięcie kontroli uprawnień w funkcji woocommerce_coupon_admin_init. Atakujący bez uwierzytelnienia mogą wygenerować kupony o dowolnej wartości, które można wykorzystać do zakupów w sklepie ofiary.

Wpływ biznesowy

Ta luka pozwala nieautoryzowanym osobom na przyznanie sobie wartościowych kuponów, co może prowadzić do strat finansowych i nadużyć w sklepie internetowym. Operatorzy sklepów korzystających z tej wtyczki powinni traktować tę podatność jako istotne ryzyko dla integralności i rentowności swojego biznesu.

Rekomendowane działania administratora

Zaleca się jak najszybsze zaktualizowanie wtyczki WooCommerce Smart Coupons do wersji po 4.6.0, w której luka została załatana. W przypadku braku możliwości aktualizacji należy ograniczyć dostęp do panelu administracyjnego, monitorować logi pod kątem podejrzanych działań oraz rozważyć tymczasowe wyłączenie wtyczki. Priorytetowo należy wdrożyć poprawki i zweryfikować uprawnienia użytkowników.

Źródła

• NVD
• Reference
• Reference