Easy Digital Downloads · plugin de venda de downloads
Afeta: lojas que aceitam pagamento pelo PayPal com compra como visitante
Em lojas que aceitam PayPal, um invasor pode fazer uma compra como visitante usando o e-mail do administrador e acabar logado na conta dele, podendo tomar o site. A atualização resolve.
Você mesmo
- Atualizar o Easy Digital Downloads para a versão 3.7.3 ou mais recente.
- Até atualizar, desativar a compra como visitante ou o PayPal nas configurações de pagamento.
- Conferir administradores em Usuários e os pedidos recentes feitos como visitante com e-mails da equipe.
Seu dev ou hospedagem
- Procurar pedidos de visitante pagos via PayPal cujo e-mail corresponda a contas de administrador ou editor.
- Revisar logins recentes de administradores e encerrar sessões suspeitas.
- Confirmar a versão com: wp plugin get easy-digital-downloads --field=version.
Detalhes técnicos: No checkout como visitante com PayPal, o Easy Digital Downloads confia no e-mail digitado para vincular o pedido a um usuário existente, e o código de captura do PayPal faz login desse usuário. Um atacante sem login que use o e-mail de um administrador (que ainda não tenha registro de cliente no EDD) e conclua o fluxo de compra do PayPal recebe a sessão do administrador. Afeta as versões até a 3.7.2; a 3.7.3 reforçou a verificação da conta ao concluir pedidos PayPal. CVSS 8.1; sem registro de exploração ativa.