300.000'den fazla web sitesine yüklenen Formidable Forms WordPress eklentisindeki bir güvenlik açığı, kimliği doğrulanmamış saldırganların ödeme doğrulamasını atlamasına olanak tanıyor. Güvenlik açığı 6.28'e kadar olan tüm sürümleri etkiliyor. Saldırganların daha düşük bir tutara yapılan Stripe ödemesini daha pahalı bir işlemi ödendi olarak işaretlemek için yeniden kullanmalarını mümkün kılıyor.
Müthiş Formlar Eklentisi
Formidable Forms eklentisi, WordPress siteleri tarafından iletişim formları, anketler, kayıt formları ve ödeme formları oluşturmak için kullanılan bir sürükle ve bırak form oluşturucusudur. Siteler bunu hizmetler, üyelikler, dijital ürünler ve etkinlik kayıtları için ödeme toplamak amacıyla ödeme işlemcileriyle (PayPal ve Stripe gibi) kullanır.
Kimliği Doğrulanmamış Saldırganlara Karşı Savunmasız
Bu güvenlik açığını özellikle endişe verici kılan şey, kimlik doğrulama gerektirmemesidir. Saldırganın bu kusurdan yararlanmak için oturum açmasına veya abone düzeyinde erişim elde etmesine bile gerek yoktur. Bu, saldırganların ödeme doğrulama zayıflığından yararlanmasını kolaylaştırır.
Güvenlik açığına CVE-2026-2890 atanmıştır ve CVSS ciddiyet puanı 7,5/10 olup Yüksek olarak derecelendirilmiştir.
Ödeme Bütünlüğünü Atlama
Güvenlik açığı, hand_one_time_stripe_link_return_url işlevindeki eksik doğrulamadan kaynaklanıyor. İşlev, ödeme kayıtlarını yalnızca Stripe PaymentIntent durumuna göre tamamlanmış olarak işaretler. Bu, saldırganların daha pahalı bir satın alma işlemini onaylamak için daha küçük bir ücret karşılığında geçerli bir PaymentIntent'i yeniden kullanmasını mümkün kılar.
Verify_intent() işlevi yalnızca istemci sırrının kullanıcıya ait olduğunu doğrular. PaymentIntent'i belirli bir form gönderimine bağlamaz. Tahsil edilen tutarın müşterinin ödemesi gereken tutarla eşleştiğini doğrulamaz.
Wordfence'e göre:
“WordPress için Formidable Forms eklentisi, 6.28 dahil olmak üzere tüm sürümlerde ödeme bütünlüğünün atlanmasına karşı savunmasızdır. Bunun nedeni, Stripe Link iade işleyicisinin (“handle_one_time_stripe_link_return_url”), niyetin tahsil edilen tutarını beklenen ödeme tutarıyla karşılaştırmadan ödeme kayıtlarını yalnızca Stripe PaymentIntent durumuna göre tamamlanmış olarak işaretlemesi ve bağlayıcı olmadan yalnızca müşterinin gizli sahipliğini doğrulayan “verify_intent()” işlevinden kaynaklanmaktadır. belirli formlara veya eylemlere yönelik niyetler.
Bu, kimliği doğrulanmamış saldırganların, tamamlanmış düşük değerli bir ödemedeki PaymentIntent'i yeniden kullanarak yüksek değerli bir ödemeyi tamamlandı olarak işaretlemesine ve mal veya hizmet ödemesini etkili bir şekilde atlamasına olanak tanıyor.”
Bu, kimliği doğrulanmamış saldırganların küçük, düşük maliyetli bir işlemi tamamlamasına ve daha sonra tam bedeli ödemeden daha pahalı bir işlemi onaylamak için bu PaymentIntent'i yeniden kullanmasına olanak tanır.
Bu güvenlik açığı, uzaktan kod yürütülmesine veya doğrudan sunucunun güvenliğinin aşılmasına olanak sağlamaz. Ancak saldırganların gerekli fiyatı ödemeden ürün veya hizmet elde etmelerine olanak tanır.
Etkilenen Sürümler ve Yama
6.28'e kadar olan tüm sürümler etkilenir. Wordfence, Formidable Forms eklentisi kullanıcılarının güvenlik açığını gidermek için 6.29 veya daha yeni bir sürüme güncelleme yapmalarını teşvik ediyor.
Shutterstock/WNstock'tan Öne Çıkan Görsel
Bir yanıt yazın