Analityczne wykorzystywanie plików cookies
CVE-2024-3649: Luka w wtyczce WPForms umożliwiająca manipulację cenami
Wtyczka WPForms do WordPress ma lukę pozwalającą na manipulację cenami w zakupach przez Stripe. Zalecane szybkie aktualizacje i monitoring.
- CVSS
- 5.3 MEDIUM
- EPSS
- 48.6%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- -
Co wiadomo
Wtyczka Contact Form by WPForms – Drag & Drop Form Builder dla WordPress w wersjach do 1.8.7.2 ma lukę pozwalającą nieautoryzowanym atakującym na manipulację cenami, informacjami o produktach oraz ilościami przy zakupach realizowanych przez integrację z Stripe. Problem wynika z braku odpowiednich kontroli nad parametrami produktów.
Wpływ biznesowy
Atakujący mogą zmieniać ceny i szczegóły produktów podczas transakcji, co może prowadzić do strat finansowych i nadużyć w systemie płatności. Operatorzy stron korzystających z tej wtyczki powinni traktować tę lukę jako istotne ryzyko dla integralności i bezpieczeństwa procesów zakupowych oraz płatności online.
Rekomendowane działania administratora
Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki WPForms i jej instalację, jeśli jest dostępna. W przypadku braku łatki należy ograniczyć ekspozycję formularzy płatności, monitorować logi transakcji pod kątem nieprawidłowości oraz rozważyć tymczasowe wyłączenie integracji ze Stripe. Priorytetowo należy ocenić ryzyko i wdrożyć dodatkowe kontrole walidacji danych przesyłanych przez formularze.