WPForms przed 1.10.0.5 umożliwia fałszowanie zdarzeń webhook PayPal

Co wiadomo

Wtyczka WPForms dla WordPressa w wersjach przed 1.10.0.5 nie weryfikuje autentyczności przychodzących zdarzeń webhook PayPal, co pozwala nieautoryzowanym atakującym na fałszowanie danych i manipulowanie stanem płatności transakcji.

Wpływ biznesowy

Nieweryfikowanie zdarzeń webhook PayPal może prowadzić do nieautoryzowanych zmian w statusach płatności, co zagraża integralności procesów finansowych i może skutkować stratami finansowymi lub problemami z rozliczeniami. Operatorzy stron korzystających z WPForms powinni zweryfikować wersję wtyczki i podjąć działania minimalizujące ryzyko nadużyć.

Rekomendowane działania administratora

Zaleca się niezwłoczne zaktualizowanie wtyczki WPForms do wersji 1.10.0.5 lub nowszej, która zawiera poprawkę weryfikującą autentyczność zdarzeń webhook. W przypadku braku możliwości aktualizacji należy ograniczyć ekspozycję webhooków, monitorować logi pod kątem podejrzanych zdarzeń oraz priorytetyzować działania zabezpieczające w środowisku WordPress.

Źródła

• NVD
• Reference