Luka wtyczki WordPress Simple PayPal Shopping Cart umożliwia manipulację ilością produktu

Co wiadomo

Wtyczka WordPress Simple Shopping Cart do wersji 5.1.3 zawiera lukę typu Insecure Direct Object Reference w funkcji 'process_payment_data', pozwalającą nieautoryzowanym użytkownikom na ustawienie ujemnej ilości produktu. Atak ten wpływa na obniżenie całkowitego kosztu zamówienia, jednak działa tylko w trybie Manual Checkout.

Wpływ biznesowy

Dla operatorów IT i właścicieli infrastruktury korzystających z tej wtyczki istnieje ryzyko nadużyć finansowych poprzez manipulację zamówieniami, co może prowadzić do strat finansowych i problemów z rozliczeniami. Luka ma średni poziom zagrożenia (CVSS 5.3) i wymaga uwagi, zwłaszcza jeśli stosowany jest tryb Manual Checkout.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki u dostawcy oraz jej instalację. W międzyczasie warto ograniczyć lub monitorować korzystanie z trybu Manual Checkout, przejrzeć logi transakcji pod kątem nietypowych zamówień oraz wprowadzić dodatkowe kontrole walidacji danych wejściowych w procesie płatności.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference