Уразливість обходу оплати членства в плагіні ProfilePress для WordPress

Що відомо

Плагін ProfilePress для WordPress має уразливість, що дозволяє автентифікованим користувачам з рівнем підписника або вище обходити оплату за членство. Через відсутність перевірки власності параметра change_plan_sub_id зловмисники можуть маніпулювати підписками інших користувачів під час оформлення замовлення.

Бізнес-вплив

Ця уразливість може призвести до отримання платних довічних планів членства без оплати, що створює фінансові втрати для власників сайтів. Вона підвищує ризик шахрайства та порушення бізнес-моделі, особливо для сайтів з платним контентом або послугами.

Рекомендовані дії адміністратора

Рекомендується негайно перевірити наявність оновлень плагіна ProfilePress та встановити їх. Якщо оновлення недоступні, слід обмежити доступ користувачів з рівнем підписника до функцій оформлення замовлення, переглянути журнали активності на предмет підозрілих дій і розглянути тимчасові заходи для зменшення ризику експлуатації уразливості.

Джерела

• NVD
• Reference
• Reference