Плагин myCred WordPress до версии 3.2.5 не проверяет, соответствует ли получатель входящего уведомления платежного шлюза настроенному торговому счету сайта, что позволяет неаутентифицированным злоумышленникам зачислять произвольные суммы внутренней валюты сайта на счет, выполняя платеж на ожидаемую сумму на счет шлюза, который они контролируют, а не на счет сайта.
Показать оригинальное описание (EN)
The myCred WordPress plugin before 3.2.5 does not verify that the receiver of an incoming payment gateway notification matches the site's configured merchant account, allowing unauthenticated attackers to have arbitrary amounts of the site's in-site currency credited to an account by completing a payment for the expected amount to a gateway account they control rather than the site's.
Характеристики атаки
Последствия
Строка CVSS v3.1