یک آسیب‌پذیری امنیتی از نوع IDOR (Insecure Direct Object Reference) در افزونه Razorpay for WooCommerce برای سیستم مدیریت محتوای وردپرس شناسایی شده است که نسخه‌های پیش از 4.8.8 را تحت تأثیر قرار می‌دهد.
جزئیات فنی آسیب‌پذیری
این نقص امنیتی به دلیل عدم بررسی مالکیت یا احراز هویت (Authorization) در یکی از مسیرهای REST API که در فرآیند پرداخت (Checkout) استفاده می‌شود، رخ داده است. در نتیجه، مهاجمان می‌توانند بدون نیاز به احراز هویت (Unauthenticated)، اطلاعات مربوط به ارسال (Shipping Information) را در سفارشات دلخواه تغییر دهند.
تاثیرات امنیتی
- دسترسی غیرمجاز: مهاجمان می‌توانند با ارسال درخواست‌های دست‌کاری شده به API، داده‌های سفارشات کاربران دیگر را تغییر دهند.
- تغییر داده‌ها: امکان تغییر آدرس و اطلاعات ارسال در سفارشات ثبت شده برای کاربران دیگر فراهم شده است.
کاربران و مدیران وب‌سایت‌هایی که از این افزونه استفاده می‌کنند، باید در سریع‌ترین زمان ممکن آن را به نسخه 4.8.8 یا نسخه‌های جدیدتر به‌روزرسانی کنند تا از بروز این مشکل جلوگیری شود.
