Уразливість у плагіні Xendit Payment для WordPress дозволяє неавторизовану зміну статусу замовлень

Що відомо

Плагін Xendit Payment для WordPress до версії 6.0.2 має уразливість, що дозволяє неавторизованим зловмисникам змінювати статус замовлень WooCommerce на 'оплачено' через відкритий API callback без перевірки автентичності. Це може призвести до шахрайського позначення замовлень як виконаних без фактичної оплати.

Бізнес-вплив

Для власників інтернет-магазинів на базі WooCommerce це означає ризик фінансових втрат та неправильного обліку запасів через фальшиві підтвердження оплати. Зловмисники можуть маніпулювати статусами замовлень, що впливає на бізнес-процеси та довіру клієнтів.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна від розробника та застосувати їх. Якщо оновлення недоступні, слід обмежити доступ до API callback, впровадити додаткові механізми автентифікації та моніторити логи на підозрілі запити. Пріоритезуйте виправлення цієї уразливості через її потенційний вплив.

Джерела

• NVD
• Reference
• Reference
• Reference
• Reference