Оtter Blocks <= 3.1.7: обход проверки покупки без авторизации (CVE-2026-4945)
В плагине Otter Blocks для WordPress обнаружена уязвимость недостаточной авторизации, позволяющая неавторизованному атакующему манипулировать параметрами Stripe-чекаута и получать доступ к премиум-функциям по цене более дешевого продукта. Уязвимость затрагивает все версии до 3.1.7 включительно, CVSS-оценка — 5.3 (средний уровень).
Подробности
Уязвимость обнаружена в плагине **Otter Blocks – Gutenberg Blocks, Page Builder for Gutenberg Editor & FSE** от разработчика themeisle. Продукт предназначен для расширения функциональности редактора WordPress Gutenberg и используется на тысячах сайтов. Проблема классифицируется как Insecure Direct Object Reference (IDOR) и связана с функцией `watch_checkout`. В коде функции отсутствует проверка валидности пользовательского ключа, что позволяет неавторизованному атакующему изменять параметр `product_id` независимо от параметра `price_id` в URL-адресе Stripe checkout. Практический сценарий эксплуатации: злоумышленник инициирует покупку самого дешевого тарифа или аддона, а затем подменяет `product_id` на идентификатор более дорогого премиум-продукта. Поскольку проверка целостности данных не выполняется, платежная система обрабатывает транзакцию по низкой цене, а система плагина выдает пользователю права на дорогой продукт. Уязвимость затрагивает все версии плагина вплоть до 3.1.7 включительно. Базовый показатель CVSS v3.1 составляет 5.3 (MEDIUM), однако практический вред может быть выше из-за финансовых потерь владельца сайта от недополученной выручки.Что делать
Разработчики уже выпустили исправление в версии 3.1.8. Настоятельно рекомендуется: 1. **Обновить плагин** Otter Blocks до актуальной версии (3.1.8 или новее) в панели администратора WordPress. 2. Если автоматическое обновление недоступно, скачать последнюю версию с официального репозитория WordPress.org или сайта разработчика. 3. В качестве временной меры до обновления — ограничить доступ к страницам оформления заказа через файрвол или плагины безопасности, блокируя подозрительные запросы с измененными параметрами. 4. Провести аудит логов платежных операций на предмет подозрительных транзакций с несоответствием цены и продукта. 5. Проверить наличие других компонентов сайта, использующих Stripe-интеграцию, на аналогичные проблемы. Итог CVE-2026-4945 является ярким примером того, как недостаток валидации входных данных в плагинах WordPress может привести к прямым финансовым потерям. Игнорирование обновлений безопасности в экосистеме WordPress — одна из главных причин успешных атак. Регулярно обновляйте компоненты сайта и следите за бюллетенями безопасности.Источник: CVE Project (cvelistV5)