Уразливість у WooCommerce EAN Payment Gateway дозволяє несанкціоноване оновлення даних замовлень

Що відомо

Плагін WooCommerce EAN Payment Gateway для WordPress містить уразливість, що дозволяє користувачам з рівнем доступу не нижче контриб’ютора змінювати EAN-номери замовлень через відсутність перевірки прав на AJAX-дію refresh_order_ean_data. Це може призвести до несанкціонованого оновлення даних замовлень.

Бізнес-вплив

Для власників інфраструктури на базі WordPress із встановленим плагіном WooCommerce EAN Payment Gateway існує ризик зміни важливих даних замовлень користувачами з обмеженим доступом. Це може вплинути на точність обробки замовлень і облік товарів, що негативно позначиться на бізнес-процесах та довірі клієнтів.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна від розробника та застосувати їх у разі доступності. Якщо оновлення відсутні, слід обмежити доступ користувачів із рівнем контриб’ютора та вище до функцій, пов’язаних із оновленням EAN-номерів, а також переглянути журнали активності для виявлення підозрілих змін. Загалом, варто мінімізувати експозицію плагіна та пріоритезувати його оновлення.

Джерела

• NVD
• Reference
• Reference