Podatności Points and Rewards for WooCommerce

Wtyczka WordPress Points and Rewards for WooCommerce w wersji przed 2.10.4 nie weryfikuje deklarowanej kwoty nagrody ani nie ogranicza dostępu do handlera roszczenia Win Wheel. Uwierzytelnieni użytkownicy z rolą Subscriber i wyższą mogą samodzielnie przyznać sobie dowolną, nieograniczoną liczbę punktów lojalnościowych, a przy aktywnej wtyczce portfela — także saldo portfela.

Wtyczka Points and Rewards for WooCommerce do WordPressa przed wersją 2.10.1 nie posiada kontroli autoryzacji w akcji aktualizacji portfela i punktów, która jest dostępna dla niezalogowanych użytkowników. Nie weryfikuje również, czy żądający jest właścicielem zmienianego konta. Niezalogowani atakujący mogą dowolnie modyfikować lub uszkadzać (w tym ustawiać na ujemne) saldo portfela i punkty lojalnościowe dowolnego użytkownika. Modyfikacja salda portfela wymaga dodatkowo aktywnej wtyczki Wallet System for WooCommerce.

Wtyczka Points and Rewards for WooCommerce dla WordPressa w wersjach do 2.10.0 zawiera podatność polegającą na pominięciu autoryzacji. Uwierzytelnieni atakujący z dostępem na poziomie subskrybenta mogą konwertować i wyczerpywać punkty nagród dowolnych użytkowników, eksfiltrować dane do zewnętrznego konta Klaviyo, nadpisywać klucz API Klaviyo oraz blokować/odblokowywać użytkowników w systemie punktowym. Dodatkowo niezalogowani goście mogą uzyskać ważny token nonce i wykorzystać wybraną akcję.