Luka wtyczki Authorize.net Payment Gateway For WooCommerce umożliwia obejście płatności

Co wiadomo

Wtyczka Authorize.net Payment Gateway For WooCommerce dla WordPressa do wersji 8.0 włącznie ma lukę pozwalającą na obejście procesu płatności. Luka wynika z braku odpowiedniej weryfikacji autentyczności żądań aktualizujących status płatności zamówienia.

Wpływ biznesowy

Atakujący bez uwierzytelnienia mogą zmienić status płatności zamówienia na opłacony, co pozwala na realizację zamówień bez faktycznej płatności. Może to prowadzić do strat finansowych i narażenia na oszustwa dla właścicieli sklepów internetowych korzystających z tej wtyczki.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki u dostawcy oraz jej instalację. W międzyczasie warto ograniczyć dostęp do funkcji aktualizacji statusu płatności, monitorować logi pod kątem nietypowych zmian oraz rozważyć dodatkowe mechanizmy weryfikacji płatności.

Źródła

• NVD
• Reference
• Reference