Luka w weryfikacji podpisu kryptograficznego w wtyczce Payment Gateway for Redsys & WooCommerce Lite

Co wiadomo

Wtyczka Payment Gateway for Redsys & WooCommerce Lite do WordPressa w wersjach do 7.0.0 ma lukę umożliwiającą nieprawidłową weryfikację podpisu kryptograficznego. Atakujący mogą podrobić dane zwrotne płatności i oznaczyć zamówienia jako opłacone bez faktycznej transakcji.

Wpływ biznesowy

Ta luka pozwala nieautoryzowanym osobom na sfałszowanie informacji o płatności i zatwierdzenie zamówień bez dokonania płatności. Może to prowadzić do realizacji zamówień bez wpływu środków, co skutkuje stratami finansowymi i problemami z zarządzaniem zamówieniami dla właścicieli sklepów internetowych korzystających z tej wtyczki.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki u dostawcy i jej wdrożenie. W międzyczasie warto ograniczyć ekspozycję usługi, monitorować logi pod kątem podejrzanych aktywności oraz weryfikować poprawność statusów płatności w systemie. Priorytetowo traktuj aktualizacje zabezpieczeń i audyt procesów płatności.

Źródła

• NVD
• Reference
• Reference