Analityczne wykorzystywanie plików cookies
Luka Server-Side Request Forgery w wtyczce PayMaster dla WooCommerce
Wtyczka PayMaster dla WooCommerce ma lukę SSRF umożliwiającą ataki z poziomu subskrybenta. Sprawdź zalecenia bezpieczeństwa i aktualizacje.
- CVSS
- 6.4 MEDIUM
- EPSS
- 9.72%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- paymaster for woocommerce
Co wiadomo
Wtyczka PayMaster dla WooCommerce w wersjach do 0.4.31 włącznie zawiera lukę SSRF w akcji AJAX 'wp_ajax_paym_status'. Umożliwia to uwierzytelnionym użytkownikom z poziomem Subskrybenta i wyższym wykonywanie żądań sieciowych do dowolnych lokalizacji z serwera aplikacji.
Wpływ biznesowy
Atakujący z dostępem subskrybenta mogą wykorzystać lukę SSRF do wysyłania żądań do wewnętrznych usług, co może prowadzić do ujawnienia lub modyfikacji danych wewnętrznych systemów. Może to wpłynąć na integralność i poufność danych oraz stabilność infrastruktury IT obsługującej WooCommerce.
Rekomendowane działania administratora
Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki PayMaster u dostawcy oraz ich wdrożenie. W międzyczasie ogranicz dostęp do panelu administracyjnego tylko do zaufanych użytkowników, monitoruj logi pod kątem nietypowych żądań AJAX oraz rozważ zastosowanie reguł zapory ograniczających ruch wychodzący z serwera.