یک آسیب‌پذیری امنیتی در افزونه Points and Rewards برای سیستم وردپرس (WordPress) و ووکامرس (WooCommerce) شناسایی شده است که به کاربران احراز هویت شده اجازه می‌دهد مبالغ دلخواه و نامحدودی را به حساب خود اضافه کنند.
جزئیات فنی آسیب‌پذیری
در نسخه‌های پیش از 2.10.4، این افزونه در اعتبارسنجی مقدار پاداش ادعا شده (Claimed Reward Amount) و همچنین در محدود کردن دسترسی به هندلر Win Wheel claim دچار نقص است. این نقص امنیتی به کاربران با سطح دسترسی Subscriber و بالاتر اجازه می‌دهد تا بدون داشتن شرایط واقعی، امتیازات وفاداری (Loyalty Points) را به صورت دلخواه به حساب خود منتقل کنند.
تاثیر بر کیف پول دیجیتال
در صورتی که یک کیف پول (Wallet) مکمل در کنار این افزونه فعال باشد، مهاجم می‌تواند علاوه بر امتیازات، موجودی کیف پول خود را نیز به صورت نامحدود افزایش دهد. این موضوع می‌تواند منجر به خسارات مالی مستقیم برای فروشگاه‌های آنلاین شود.
توصیه امنیتی
به تمامی مدیران سایت‌های مبتنی بر WooCommerce توصیه می‌شود که در سریع‌ترین زمان ممکن، افزونه Points and Rewards را به نسخه 2.10.4 یا نسخه‌های جدیدتر به‌روزرسانی کنند تا از سوءاستفاده احتمالی کاربران سطح پایین از این نقص امنیتی جلوگیری شود.
