Уразливість у плагіні Restrict Content для WordPress дозволяє викрадення секретних ключів Stripe

Що відомо

Плагін Membership Plugin – Restrict Content для WordPress має уразливість відсутності автентифікації у функції rcp_stripe_create_setup_intent_for_saved_card у версіях до 3.2.16 включно. Це дозволяє неавторизованим зловмисникам отримати доступ до секретних ключів Stripe SetupIntent для будь-якого членства.

Бізнес-вплив

Уразливість може призвести до витоку конфіденційних даних Stripe, що ставить під загрозу фінансову безпеку користувачів і довіру до сервісу. Власники сайтів на WordPress, які використовують цей плагін, ризикують компрометацією платіжної інформації та потенційними фінансовими втратами.

Рекомендовані дії адміністратора

Рекомендується негайно перевірити наявність оновлень плагіна від розробника та встановити їх. Якщо оновлення недоступні, слід обмежити доступ до функції, переглянути журнали доступу на предмет підозрілої активності та знизити експозицію плагіна. Важливо також провести аудит безпеки та пріоритезувати виправлення цієї уразливості.

Джерела

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference