Уразливість у плагіні User Registration & Membership для WordPress дозволяє активувати платну підписку без оплати

Що відомо

Плагін User Registration & Membership для WordPress версії до 5.2.2 не перевіряє автентичність webhook-повідомлень від платіжних провайдерів, що дозволяє зловмисникам підробити подію підтвердження оплати та активувати платну підписку без фактичної оплати.

Бізнес-вплив

Ця уразливість може призвести до фінансових втрат через активацію платних підписок без оплати, а також до порушення бізнес-процесів, пов’язаних із керуванням користувачами та платежами. Власники сайтів на WordPress, які використовують цей плагін, ризикують отримати неправомірний доступ до платного контенту та послуг.

Рекомендовані дії адміністратора

Рекомендується негайно оновити плагін User Registration & Membership до версії 5.2.2 або новішої, перевірити журнали платежів на наявність підозрілих транзакцій, обмежити доступ до вебхуків платіжних провайдерів та контролювати активність користувачів. Якщо оновлення неможливе, слід розглянути тимчасове відключення функції прийому webhook-повідомлень або впровадження додаткової перевірки автентичності.

Джерела

• NVD
• Reference