CVE-2024-8678: Luka w wtyczce Revolut Gateway for WooCommerce umożliwia nieautoryzowaną modyfikację zamówień

Co wiadomo

Wtyczka Revolut Gateway for WooCommerce dla WordPressa do wersji 4.17.3 włącznie posiada lukę polegającą na braku weryfikacji uprawnień w endpointzie /wc/v3/revolut REST API. Pozwala to nieautoryzowanym atakującym na oznaczanie zamówień jako zrealizowane.

Wpływ biznesowy

Luka może prowadzić do fałszywego oznaczania statusu zamówień, co zaburza procesy sprzedaży i rozliczeń w sklepach internetowych korzystających z tej wtyczki. Może to skutkować problemami finansowymi, utratą zaufania klientów oraz koniecznością dodatkowej weryfikacji zamówień przez operatorów IT i właścicieli infrastruktury.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki u dostawcy i jej instalację. W międzyczasie warto ograniczyć dostęp do API, monitorować logi pod kątem nieautoryzowanych zmian statusów zamówień oraz przeprowadzić audyt procesów obsługi zamówień w sklepie.

Źródła

• NVD
• Reference
• Reference