Luka IDOR w wtyczce WooCommerce Square dla WordPress umożliwia nieautoryzowany dostęp do danych kart

Co wiadomo

Wtyczka WooCommerce Square dla WordPress do wersji 5.1.1 zawiera lukę typu Insecure Direct Object Reference (IDOR) w funkcji get_token_by_id, co pozwala nieautoryzowanym atakującym na dostęp do wartości "ccof" (karta kredytowa na pliku) i potencjalne dokonywanie nieuczciwych transakcji.

Wpływ biznesowy

Atakujący mogą wykorzystać tę lukę do uzyskania dostępu do danych kart kredytowych zapisanych w systemie oraz do przeprowadzenia nieautoryzowanych obciążeń na stronie, co może prowadzić do strat finansowych oraz utraty zaufania klientów. Operatorzy IT powinni potraktować tę podatność jako wysokiego ryzyka i priorytetowo zająć się jej eliminacją.

Rekomendowane działania administratora

Zaleca się jak najszybsze zaktualizowanie wtyczki WooCommerce Square do wersji po 5.1.1, jeśli jest dostępna. W przypadku braku aktualizacji należy ograniczyć dostęp do funkcji get_token_by_id, przeprowadzić przegląd logów pod kątem podejrzanych działań oraz monitorować transakcje pod kątem nieautoryzowanych obciążeń. Warto również rozważyć ograniczenie ekspozycji wtyczki i stosowanie zasad minimalnych uprawnień.

Źródła

• NVD
• Reference
• Reference