Podatności Robokassa payment gateway for WooCommerce

Wtyczka WordPress Robokassa payment gateway for Woocommerce w wersji przed 1.9.0 nie weryfikuje autentyczności przychodzącego żądania powiadomienia o płatności przed podjęciem działań na zamówieniu w nim wskazanym. Umożliwia to nieuwierzytelnionym atakującym wymuszenie stanu niepowodzenia dowolnego zamówienia WooCommerce; identyfikatory zamówień są sekwencyjne, więc każde zamówienie w sklepie może zostać usunięte z kolejki realizacji pojedynczym żądaniem.

Bramka płatności Robokassa dla WooCommerce w wersjach do 1.8.9 włącznie zawiera podatność Broken Access Control, którą może wykorzystać nieuwierzytelniony atakujący. Brak poprawnej kontroli dostępu umożliwia wykonanie nieautoryzowanych operacji.

Wtyczka Robokassa payment gateway dla WooCommerce w wersji przed 1.8.9 nie weryfikuje autentyczności przychodzących powiadomień o płatności, gdy włączona jest jej niedomyślna funkcja odroczonej płatności. Umożliwia to nieuwierzytelnionym atakującym sfałszowanie powiadomienia i oznaczenie dowolnych zamówień WooCommerce jako opłaconych lub wstrzymanych bez dokonania płatności i bez ważnego podpisu.