CVE-2024-1321: luka w wtyczce EventPrime umożliwiająca ominięcie płatności

Co wiadomo

Wtyczka EventPrime – Events Calendar, Bookings and Tickets dla WordPressa do wersji 3.4.2 włącznie posiada lukę pozwalającą nieautoryzowanym użytkownikom na zmianę statusu płatności zamówień. Dzięki temu atakujący mogą rezerwować wydarzenia bez opłaty.

Wpływ biznesowy

Luka umożliwia nieautoryzowanym osobom dokonanie rezerwacji wydarzeń bez uiszczenia opłaty, co może prowadzić do strat finansowych oraz narażenia organizatorów na nieuprawnione wykorzystanie zasobów. Operatorzy stron korzystających z tej wtyczki powinni traktować tę podatność jako istotne zagrożenie dla integralności procesów sprzedaży i rezerwacji.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki EventPrime u dostawcy i ich wdrożenie. W międzyczasie warto ograniczyć dostęp do funkcji zmiany statusu płatności, monitorować logi pod kątem podejrzanych aktywności oraz rozważyć tymczasowe wyłączenie funkcji rezerwacji, jeśli to możliwe.

Źródła

• NVD
• Reference
• Reference