Уразливість у Clover Payment Gateway для WooCommerce дозволяє позаавторизаційним користувачам позначати замовлення як оплачені

Що відомо

Плагін Clover Payment Gateway від Zaytech для WooCommerce до версії 1.3.6 не перевіряє відповідність зовнішнього платежу замовленню та суму оплати. Це дозволяє неавторизованим користувачам позначати будь-які замовлення як оплачені, повторно використовуючи дійсний платіжний ідентифікатор.

Бізнес-вплив

Ця уразливість може призвести до неправомірного підтвердження оплати замовлень, що створює ризики фінансових втрат і порушення бізнес-процесів для власників інтернет-магазинів на WooCommerce. ІТ-оператори повинні врахувати можливість шахрайських транзакцій і вплив на довіру клієнтів.

Рекомендовані дії адміністратора

Рекомендується оновити плагін Clover Payment Gateway до версії 1.3.6 або новішої, якщо доступна. Якщо оновлення неможливе, слід обмежити доступ до платіжних процесів, перевірити логи на аномальні транзакції та посилити контроль відповідності платежів замовленням. Важливо також інформувати команду безпеки та користувачів про потенційні ризики.

Джерела

• NVD
• Reference