В плагине платежного шлюза WooCommerce Stripe обнаружена уязвимость, которая позволяет злоумышленнику украсть личную информацию клиента (PII) из магазинов, использующих плагин.
Исследователи безопасности предупреждают, что хакерам не требуется аутентификация для использования эксплойта, который получил высокую оценку 7,5 по шкале от 1 до 10.
Плагин платежного шлюза WooCommerce Stripe
Плагин платежного шлюза Stripe, разработанный WooCommerce, Automattic, WooThemes и другими участниками, установлен более чем на 900 000 веб-сайтов.
Он предлагает покупателям в магазинах WooCommerce простой способ оформления заказа с помощью нескольких различных кредитных карт и без необходимости открытия учетной записи.
Учетная запись Stripe автоматически создается при оформлении заказа, предоставляя клиентам беспрепятственный опыт покупок в электронной коммерции.
Плагин работает через интерфейс прикладного программирования (API).
API — это своего рода мост между двумя программами, который позволяет магазину WooCommerce взаимодействовать с программным обеспечением Stripe для беспрепятственной обработки заказов с веб-сайта в Stripe.
Что такое уязвимость в плагине WooCommerce Stripe?
Исследователи безопасности из Patchstack обнаружили уязвимость и ответственно сообщили о ней соответствующим сторонам.
По словам исследователей безопасности из Patchstack:
«Этот плагин страдает от уязвимости Unauthenticated Insecure Direct Object Reference (IDOR).
Эта уязвимость позволяет любому неаутентифицированному пользователю просматривать персональные данные любого заказа WooCommerce, включая адрес электронной почты, имя пользователя и полный адрес».
Затронутые версии плагина WooCommerce Stripe
Уязвимость затрагивает версии до и равные версии 7.4.0.
Разработчики, связанные с плагином, обновили его до версии 7.4.1, которая является наиболее безопасной версией.
Это были обновления безопасности, согласно официальному плагину. список изменений:
- «Исправить — добавить проверку ключа заказа.
- Исправить — добавить очистку и экранирование некоторых выходных данных».
Есть пара проблем, которые нужно исправить.
Во-первых, это отсутствие проверки, которая, как правило, представляет собой проверку для подтверждения того, что запрос от уполномоченного лица.
Следующим является санитарная обработка, которая относится к процессу блокировки любого недействительного ввода. Например, если для ввода разрешен только текст, его следует настроить таким образом, чтобы запретить загрузку скриптов.
В журнале изменений упоминается экранирование выходных данных, что является способом блокировки нежелательных и злонамеренных входных данных.
Некоммерческая организация по безопасности Open Worldwide Application Security Project (OWASP) объясняет это так:
«Кодирование и экранирование — это защитные методы, предназначенные для предотвращения инъекций».
Официальный справочник WordPress API объясняет это так:
«Экранирование вывода — это процесс защиты выходных данных путем удаления нежелательных данных, таких как искаженный HTML или теги сценария.
Этот процесс помогает защитить ваши данные до того, как они будут переданы конечному пользователю».
Настоятельно рекомендуется, чтобы пользователи плагина немедленно обновили свои плагины до версии 7.4.1.
Прочтите рекомендации по безопасности на Patchstack:
Неаутентифицированный IDOR для раскрытия PII в плагине WooCommerce Stripe Gateway
Избранное изображение: Shutterstock/Федор Анисимов.