Национальная база данных уязвимостей (NVD) правительства США опубликовала предупреждения об уязвимостях в пяти плагинах WooCommerce для WordPress, затрагивающих более 135 000 установок.
Серьезность многих уязвимостей варьируется от критической до 9,8 балла по шкале от 1 до 10.
Каждой уязвимости был присвоен идентификационный номер CVE (Common Vulnerabilities and Exposures), присваиваемый обнаруженным уязвимостям.
Содержание
1. Расширенный экспорт заказа для WooCommerce
Плагин Advanced Order Export for WooCommerce, установленный более чем на 100 000 веб-сайтов, уязвим для атаки с подделкой межсайтовых запросов (CSRF).
Уязвимость подделки межсайтовых запросов (CSRF) возникает из-за недостатка плагина веб-сайта, который позволяет злоумышленнику обманом заставить пользователя веб-сайта выполнить непреднамеренное действие.
Браузеры веб-сайтов обычно содержат файлы cookie, которые сообщают веб-сайту, что пользователь зарегистрирован и вошел в систему. Злоумышленник может получить уровни привилегий администратора. Это дает злоумышленнику полный доступ к веб-сайту, раскрывает конфиденциальную информацию о клиентах и так далее.
Эта конкретная уязвимость может привести к загрузке файла экспорта. В описании уязвимости не указано, какой файл может быть загружен злоумышленником.
Учитывая, что целью плагина является экспорт данных заказа WooCommerce, разумно предположить, что данные заказа — это тип файла, к которому может получить доступ злоумышленник.
Официальное описание уязвимости:
«Уязвимость межсайтовой подделки запросов (CSRF) в плагине Advanced Order Export For WooCommerce <= 3.3.2 в WordPress, приводящая к загрузке файла экспорта».
Уязвимость затрагивает все версии плагина Advanced Order Export for WooCommerce, которые ниже или равны версии 3.3.2.
Официальный список изменений для плагина отмечает, что уязвимость была исправлена в версии 3.3.3.
Подробнее читайте в Национальной базе данных уязвимостей (NVD): CVE-2022-40128
2. Расширенное динамическое ценообразование для WooCommerce
Второй затронутый плагин — это плагин Advanced Dynamic Pricing для WooCommerce, который установлен более чем на 20 000 веб-сайтов.
Было обнаружено, что в этом плагине есть две уязвимости, связанные с подделкой межсайтовых запросов (CSRF), которые затрагивают все версии плагинов ниже 4.1.6.
Цель плагина — упростить продавцам создание скидок и правила ценообразования.
Первая уязвимость (CVE-2022-43488) может привести к «миграция типа правила».
Это несколько расплывчато. Возможно, можно сделать предположение, что уязвимость может иметь какое-то отношение к возможности изменять правила ценообразования.
Официальное описание, предоставленное в НВД:
«Уязвимость подделки межсайтовых запросов (CSRF) в плагине Advanced Dynamic Pricing for WooCommerce <= 4.1.5 в WordPress, приводящая к миграции типа правила».
Подробнее читайте на НВД: CVE-2022-43488
NVD присвоил второй уязвимости CSRF в плагине Advanced Dynamic Pricing for WooCommerce номер CVE, CVE-2022-43491.
Официальное описание уязвимости NVD:
«Уязвимость подделки межсайтовых запросов (CSRF) в плагине Advanced Dynamic Pricing for WooCommerce <= 4.1.5 в WordPress, приводящая к импорту настроек плагина».
Официальный журнал изменений плагина заметки:
«Журнал изменений — 4.1.6 — 2022-10-26
Исправлены некоторые CSRF-уязвимости и неработающие уязвимости контроля доступа».
Читайте официальное объявление NVD: CVE-2022-43491
3. Плагин Advanced Coupons for WooCommerce Coupons
Третий затронутый плагин, Advanced Coupons for WooCommerce Coupons, имеет более 10 000 установок.
Проблема, обнаруженная в этом плагине, также является уязвимостью CSRF и затрагивает все версии ниже 4.5.01.
журнал изменений плагина называет патч Исправлена ошибка?
«4.5.0.1
Исправление ошибки: уведомление о начале работы отклоняет запрос AJAX не имеет одноразового значения».
Официальное описание NVD:
«Уязвимость подделки межсайтовых запросов (CSRF) в плагине Advanced Coupons for WooCommerce Coupons <= 4.5 в WordPress, приводящая к отклонению уведомления».
Подробнее читайте на НВД: CVE-2022-43481
4. Дропшиппинг WooCommerce от OPMC — критично
Четвертое затронутое программное обеспечение — это плагин WooCommerce Dropshipping by OPMC, который установлен более чем на 3000 раз.
Версии этого подключаемого модуля до версии 4.4 содержат уязвимость, связанную с неаутентифицированным внедрением SQL, с рейтингом 9,8 (по шкале от 1 до 10) и помеченной как критическая.
Как правило, уязвимость SQL-инъекции позволяет злоумышленнику манипулировать базой данных WordPress и получать разрешения на уровне администратора, вносить изменения в базу данных, стирать базу данных или даже загружать конфиденциальные данные.
NVD описывает эту конкретную уязвимость плагина:
«Плагин WooCommerce Dropshipping для WordPress до версии 4.4 неправильно очищает и экранирует параметр перед его использованием в операторе SQL через конечную точку REST, доступную для неаутентифицированных пользователей, что приводит к SQL-инъекции».
Подробнее читайте на НВД: CVE-2022-3481
Читать официальное журнал изменений плагина.
5. Ценообразование на основе ролей для WooCommerce
Плагин Role Based Pricing for WooCommerce имеет две уязвимости, связанные с подделкой межсайтовых запросов (CSRF). Этот плагин установлен 2000 раз.
Как упоминалось о другом плагине, уязвимость CSRF обычно связана с тем, что злоумышленник обманом заставляет администратора или другого пользователя щелкнуть ссылку или выполнить какое-либо другое действие. Это может привести к тому, что злоумышленник получит уровни разрешений веб-сайта пользователя.
Этой уязвимости присвоен высокий рейтинг 8,8.
Описание первой уязвимости NVD предупреждает:
«Плагин WordPress для ценообразования на основе ролей для WooCommerce до версии 1.6.2 не имеет авторизации и надлежащих проверок CSRF, а также не проверяет загружаемые файлы, что позволяет любым аутентифицированным пользователям, таким как подписчик, загружать произвольные файлы, такие как PHP».
Ниже приводится официальное описание NVD второй уязвимости:
«Плагин Role Based Pricing for WooCommerce WordPress до версии 1.6.3 не имеет авторизации и надлежащих проверок CSRF, а также не проверяет путь, указанный посредством пользовательского ввода, что позволяет любым аутентифицированным пользователям, таким как подписчик, выполнять атаки десериализации PHAR, когда они могут загрузить файл, а в блоге присутствует подходящая цепочка гаджетов»
Официальный плагин ценообразования на основе ролей для WooCommerce WordPress список изменений сообщает, что плагин полностью пропатчен в версии 1.6.2:
«Журнал изменений 2022-10-01 — версия 1.6.2
* Исправлена уязвимость загрузки произвольных файлов.
* Исправлена проблема с проверкой одноразового номера ajax».
Прочтите официальную документацию NVD:
Курс действий
Хорошей практикой считается обновление всех уязвимых плагинов. Также рекомендуется создать резервную копию сайта перед обновлением каких-либо плагинов и (если возможно) подготовить сайт и протестировать плагин перед обновлением.
Избранное изображение Shutterstock/Master1305
