Критическая уязвимость в WPForms - миллионы сайтов WordPress под угрозой неконтролируемых возвратов через Stripe

В одном из самых популярных плагинов для WordPress, WPForms, обнаружена серьезная уязвимость, которая позволяет пользователям с минимальными правами проводить возвраты платежей и отменять подписки через платежный сервис Stripe. Проблема затрагивает более шести миллионов веб-сайтов, использующих этот плагин для создания форм обратной связи и оплаты.

Уязвимость, получившая идентификатор CVE-2024-11205, была классифицирована как проблема высокой степени серьезности. Несмотря на то, что для её эксплуатации требуются определенные условия авторизации, многие сайты используют системы членства, делая потенциальное использование уязвимости довольно простым.

Ошибка обнаружена в версиях WPForms начиная с 1.8.4 до 1.9.2.1, а исправление было выпущено в версии 1.9.2.2, которая появилась в прошлом месяце. В корне проблемы лежит неправильное использование функции 'wpforms_is_admin_ajax()', которая не проводила должных проверок полномочий пользователя, позволяя любому аутентифицированному пользователю вызывать чувствительные функции AJAX для возврата платежей и отмены подписок.

Открытие этой уязвимости принадлежит исследователю по безопасности с псевдонимом 'vullu164', который сообщил о ней в программу вознаграждений за найденные баги Wordfence, получив вознаграждение в размере $2,376. Компания Awesome Motive, разработчик WPForms, оперативно отреагировала на сообщение, выпустив обновление, которое устраняет уязвимость.

На текущий момент, согласно данным wordpress.org, примерно половина сайтов, использующих WPForms, все еще работает на устаревших версиях плагина, что означает, что около трех миллионов сайтов остаются уязвимыми. Несмотря на отсутствие информации об активной эксплуатации уязвимости, всем пользователям рекомендуется как можно скорее обновиться до последней версии или временно отключить плагин.