Уразливість Insecure Direct Object Reference у плагіні OneClick Chat to Order для WordPress

Що відомо

Плагін OneClick Chat to Order для WordPress версій до 1.0.8 включно має уразливість Insecure Direct Object Reference через відсутність перевірки ключа, контрольованого користувачем. Це дозволяє неавторизованим зловмисникам переглядати конфіденційну інформацію клієнтів, змінюючи ID замовлення у URL.

Бізнес-вплив

Уразливість може призвести до витоку особистих даних клієнтів, таких як імена, електронні адреси, номери телефонів, адреси доставки та оплати, а також деталей замовлень. Це створює ризики для репутації компанії та може спричинити юридичні наслідки через порушення захисту персональних даних. ІТ-оператори повинні враховувати високий рівень загрози та пріоритетно реагувати на цю проблему.

Рекомендовані дії адміністратора

Рекомендується негайно перевірити наявність оновлень плагіна OneClick Chat to Order від розробника та встановити їх. Якщо оновлення недоступні, слід обмежити доступ до функції, що обробляє параметр wa_order_thank_you_override, переглянути журнали доступу на предмет підозрілої активності та мінімізувати публічний доступ до інформації про замовлення. Важливо також інформувати команду безпеки та користувачів про потенційні ризики.

Джерела

• NVD
• Reference
• Reference
• Reference