Analityczne wykorzystywanie plików cookies
CVE-2024-0432: podatność CSRF w wtyczce Gestpay dla WooCommerce
Wtyczka Gestpay dla WooCommerce ma lukę CSRF umożliwiającą usunięcie tokena karty. Sprawdź zalecenia bezpieczeństwa i aktualizacje.
- CVSS
- 4.3 MEDIUM
- EPSS
- 19.59%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- gestpay for woocommerce
Co wiadomo
Wtyczka Gestpay dla WooCommerce do WordPressa jest podatna na atak Cross-Site Request Forgery (CSRF) w wersjach do 20221130 włącznie. Brak poprawnej walidacji nonce w funkcji 'ajax_delete_card' umożliwia nieautoryzowanym atakującym usunięcie domyślnego tokena karty użytkownika poprzez spreparowane żądanie.
Wpływ biznesowy
Podatność może prowadzić do nieautoryzowanego usunięcia danych płatniczych użytkowników, co wpływa na integralność i dostępność usług e-commerce. Administratorzy powinni traktować tę lukę jako średniego ryzyka, zwłaszcza w środowiskach z wieloma użytkownikami i administratorami, gdzie atakujący może nakłonić administratora do wykonania złośliwego działania.
Rekomendowane działania administratora
Zaleca się sprawdzenie dostępności aktualizacji wtyczki Gestpay dla WooCommerce i ich niezwłoczne zastosowanie. W przypadku braku łatki należy ograniczyć dostęp administratorów do zaufanych źródeł, monitorować logi pod kątem podejrzanych działań oraz edukować personel w zakresie rozpoznawania prób phishingu i innych technik socjotechnicznych.