注目★★★★★GitHub Advisory
WWBN AVideo: AuthorizeNet決済エンドポイントで認証済みユーザーがウォレット残高を任意に増額可能
要約
WWBN AVideoのプラグインに、認証済みユーザーが自身のウォレット残高を任意に増額できる脆弱性が発見された。`plugin/AuthorizeNet/processPayment.json.php`がPOSTパラメータ`amount`の値をそのまま信用し、実際のAuthorize.Net決済処理を行わずに`$paymentSuccess = true`をハードコードしている。AuthorizeNetおよびYPTWalletプラグインが有効な環境で、ログイン済みの任意ユーザーが影響を受ける。
あなたへの影響
AVideoを自社サービスで利用しているチームは、AuthorizeNetおよびYPTWalletプラグインの有効状況を確認すること。
推奨：即時の経済的被害につながる可能性があるが、認証が前提のため影響範囲は限定的で、パッチ適用や当該プラグインの一時無効化を検討する程度の対応で良い。