Платежный шлюз BlueSnap для плагина WooCommerce для WordPress уязвим для пропуска авторизации во всех версиях до 3.4.0. Это связано с плаги…

Платежный шлюз BlueSnap для плагина WooCommerce для WordPress уязвим для пропуска авторизации во всех версиях до 3.4.0. Это связано с плагином, полагающимися на функцию WooCommerce `WC_Geolocation::get_ip_address()` для проверки запросов IPN, которая доверяет контролируемым пользователем заголовки, таким как X-Real-IP и X-Forwarded-For, для определения IP-адреса клиента. Это позволяет неаутентифицированным злоумышленникам обходить ограничения разрешенного списка IP, подделывая белостерый IP-адрес BlueSnap и отправляя поддельные данные IPN (уведомление об мгновенных платежах) для манипулирования статусами заказов (отметить заказы как оплаченные, неуправляемые, возвращенные или надержанные) без надлежащего разрешения.