Atualize esta semana
Order Tracking · plugin de acompanhamento de pedidos
Afeta: sites que recebem pagamentos pelo PayPal no Order Tracking
Vulnerável: antes da 3.6.0Seguro: 3.6.0 ou superior
Um invasor pode fazer um pedido aparecer como pago no site pagando alguns centavos para ele mesmo no PayPal. Só preocupa quem recebe pagamentos pelo PayPal dentro do plugin.
Você mesmo
- Atualizar o Order Tracking para a 3.6.0 ou mais recente (a 3.6.1 é a atual); o fabricante recomenda testar antes num site de testes, porque a 3.6.0 é uma atualização grande.
- Conferir no painel do PayPal se os pedidos marcados como pagos têm o pagamento correspondente.
Seu dev ou hospedagem
- Cruzar pedidos pagos com o histórico de transações do PayPal (receiver_email e mc_gross).
- Revisar nos logs requisições ao endpoint de IPN do plugin vindas de fora dos IPs do PayPal.
Detalhes técnicos: Antes da 3.6.0, o listener de PayPal IPN do Order Tracking não confere se a notificação de pagamento foi enviada para a conta do lojista nem se o valor corresponde ao total do pedido. Um invasor sem login pode marcar qualquer pedido como pago fazendo um pagamento irrisório para a própria conta PayPal. CVSS 5.3; sem relato de exploração ativa. Corrigido na 3.6.0.