Luka wtyczki Motors – Car Dealership & Classified Listings umożliwia obejście płatności

Co wiadomo

Wtyczka Motors – Car Dealership & Classified Listings dla WordPressa do wersji 1.4.103 umożliwia atakującemu z uprawnieniami subskrybenta obejście weryfikacji płatności PayPal poprzez modyfikację wrażliwych danych użytkownika bez odpowiedniej autoryzacji. Luka wynika z niewystarczającej kontroli uprawnień podczas aktualizacji pól meta użytkownika.

Wpływ biznesowy

Atakujący z poziomem subskrybenta mogą uzyskać dostęp do płatnych funkcji członkostwa Dealera bez dokonania faktycznej płatności, co może prowadzić do nadużyć i strat finansowych. Właściciele witryn korzystających z tej wtyczki powinni rozważyć ryzyko nieautoryzowanego dostępu do funkcji premium oraz potencjalne naruszenia polityk płatności.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki u dostawcy oraz ich wdrożenie. W międzyczasie warto ograniczyć uprawnienia użytkowników, monitorować logi aktywności pod kątem podejrzanych zmian oraz rozważyć tymczasowe wyłączenie funkcji płatności w wtyczce. Priorytetem jest minimalizacja ryzyka nieautoryzowanego dostępu do funkcji płatnych.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference