CVE-2023-7289: luka w wtyczce Paytium umożliwiająca nieautoryzowaną zmianę kluczy API

Co wiadomo

Wtyczka Paytium: Mollie payment forms & donations dla WordPress do wersji 4.3.7 ma lukę pozwalającą użytkownikom z poziomem subskrybenta na nieautoryzowaną zmianę kluczy API poprzez brak odpowiedniej weryfikacji uprawnień w funkcji paytium_sw_save_api_keys.

Wpływ biznesowy

Ta luka może prowadzić do nieautoryzowanego przejęcia kontroli nad kluczami API wtyczki, co zagraża bezpieczeństwu płatności i danych finansowych. Operatorzy stron korzystających z Paytium powinni traktować tę podatność poważnie, gdyż może ona umożliwić atakującym manipulację transakcjami lub dostęp do poufnych informacji.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Paytium u dostawcy oraz ich wdrożenie. W międzyczasie warto ograniczyć dostęp użytkowników do poziomu subskrybenta oraz monitorować logi pod kątem podejrzanych działań związanych z kluczami API. Priorytetem jest szybka weryfikacja i aktualizacja środowiska.

Źródła

• NVD
• Reference
• Reference