Luka wtyczki Flexible Refund and Return Order for WooCommerce umożliwia zgłaszanie zwrotów bez autoryzacji

Co wiadomo

Wtyczka Flexible Refund and Return Order dla WooCommerce w wersjach do 1.0.38 ma lukę brakującej autoryzacji w funkcji save_refund_request(). Umożliwia to uwierzytelnionym użytkownikom z uprawnieniami subskrybenta lub wyższymi zgłaszanie zwrotów dla zamówień, których nie są właścicielami.

Wpływ biznesowy

Atakujący z dostępem subskrybenta mogą nadużywać mechanizmu zwrotów, co może prowadzić do nieautoryzowanych roszczeń finansowych i narażenia na straty. Właściciele sklepów WooCommerce powinni zweryfikować swoje systemy pod kątem tej luki, aby zapobiec nadużyciom i zachować integralność procesów zwrotów.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki u dostawcy oraz jej wdrożenie. W międzyczasie warto ograniczyć uprawnienia użytkowników oraz monitorować logi dotyczące zgłoszeń zwrotów, aby wykryć podejrzane działania. Priorytetem jest szybka reakcja i minimalizacja ryzyka nadużyć.

Źródła

• NVD
• Reference
• Reference