Analityczne wykorzystywanie plików cookies
CVE-2024-1719: podatność CSRF w wtyczkach PayPal & Stripe dla WordPress
Wtyczki PayPal & Stripe dla WordPress mają lukę CSRF umożliwiającą zmianę ustawień. Sprawdź zalecenia i zabezpiecz swoją stronę.
- CVSS
- 4.3 MEDIUM
- EPSS
- 21.88%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- paypal \& stripe add-on
Co wiadomo
Wtyczki Easy PayPal & Stripe Buy Now Button (do wersji 1.8.3) oraz Contact Form 7 – PayPal & Stripe Add-on (do wersji 2.1) są podatne na atak Cross-Site Request Forgery (CSRF) z powodu braku lub błędnej walidacji nonce w funkcji 'wpecpp_stripe_connect_completion'. Atakujący może zmienić ustawienia wtyczek, w tym połączenie Stripe, wykorzystując podstęp skierowany do administratora.
Wpływ biznesowy
Podatność umożliwia nieautoryzowaną modyfikację konfiguracji wtyczek płatności, co może prowadzić do zakłóceń w procesach finansowych i potencjalnych strat. Administratorzy stron korzystających z tych wtyczek powinni traktować tę lukę jako średniego ryzyka, zwłaszcza jeśli dostęp do panelu administracyjnego jest szeroko otwarty.
Rekomendowane działania administratora
Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczek u dostawcy i ich wdrożenie. W międzyczasie ogranicz dostęp do panelu administracyjnego, monitoruj logi pod kątem podejrzanych działań oraz edukuj administratorów, aby nie klikali w podejrzane linki. Warto również rozważyć wdrożenie dodatkowych mechanizmów ochrony przed CSRF.