CVE-2023-4040: luka wtyczki Stripe Payment dla WooCommerce umożliwiająca nieautoryzowaną modyfikację danych

Co wiadomo

Wtyczka Stripe Payment dla WooCommerce w wersjach do 3.7.9 włącznie posiada lukę polegającą na braku sprawdzenia uprawnień w funkcji eh_callback_handler. Pozwala to nieautoryzowanym atakującym na zmianę statusu dowolnych zamówień w WooCommerce.

Wpływ biznesowy

Luka ta może prowadzić do manipulacji zamówieniami w sklepie internetowym, co może skutkować błędnym przetwarzaniem płatności i problemami z realizacją zamówień. Operatorzy sklepów WooCommerce korzystający z tej wtyczki powinni traktować tę podatność jako istotne ryzyko dla integralności danych i procesów biznesowych.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Stripe Payment dla WooCommerce i jej instalację. W przypadku braku łatki należy ograniczyć ekspozycję wtyczki, monitorować logi pod kątem podejrzanych zmian statusów zamówień oraz priorytetyzować działania naprawcze w oparciu o ryzyko.

Źródła

• NVD
• Reference
• Reference