Wtyczka WordPress, krytyczna luka w zabezpieczeniach WooCommerce poprawiona dzięki aktualizacji 3.4.6

Źródło logo WooCommerce - WooCommerce

Jeśli kiedykolwiek posiadałeś witrynę eCommerce, istnieje prawie procentowe prawdopodobieństwo, że na pewno słyszałeś o WooCommerce, popularnej wtyczce do witryn eCommerce. Obsługując ponad 35% witryn eCommerce w Internecie i ponad 4 miliony instalacji, WooCommerce jest jedną z najbardziej zaufanych wtyczek dla użytkowników, którzy chcą mieć własny sklep internetowy. Jeśli jesteś użytkownikiem wtyczki WooCommerce, jest kilka ważnych wiadomości, których nie możesz przegapić.

Techniczne

Simon Scannell, badacz w RIPS Technologies GmbH, odkryty luka we wtyczce (kredyty do HackerNews za znalezienie wpisu na blogu), który podobno umożliwia złośliwemu lub uprzywilejowanemu użytkownikowi uprzywilejowanemu uzyskanie pełnej kontroli nad witryną, pod warunkiem, że używa niezałatanej wersji wtyczki. Opis luki w blogu Simona brzmi następująco:

Wada w sposobie, w jaki WordPress obsługuje uprawnienia, może prowadzić do eskalacji uprawnień we wtyczkach WordPress. Dotyczy to na przykład WooCommerce, najpopularniejszej wtyczki e-commerce z ponad 4 milionami instalacji. Luka umożliwia kierownicy sklepów aby usunąć określone pliki na serwerze, a następnie przejąć dowolne konto administratora.

Simon dalej ujawnia szczegóły techniczne dotyczące exploita na swoim blogu. Ujawnia, w jaki sposób Wordpress automatycznie zezwala na konta z „ edit_users ”Uprawnienie do edycji również poświadczeń konta administratora. Ale wtyczki takie jak WooCommerce zawierają meta możliwości, które są implementowane jako funkcje i których wartość zwracana decyduje o tym, czy bieżący użytkownik może wykonać tę czynność. Uniemożliwia to kierownikom sklepu edycję kont administratora.

Wada

Główną wadą sposobu, w jaki Wordpress obsługuje te uprawnienia konta, jest to, że meta-możliwości danej wtyczki są wykonywane wtedy i tylko wtedy, gdy wtyczka jest aktywna. Jeśli przypadkiem wtyczka WooCommerce zostanie wyłączona, wszystkie konta użytkowników z „ edit_users ”Pozwolą również bawić się kontami administratora, a tym samym przejmować całą witrynę.

Chociaż tylko administratorzy mogą wyłączyć wtyczki, przypadkowa luka umożliwiająca usunięcie plików w WooCommerce pozwala kierownikom sklepów na usunięcie dowolnego pliku na serwerze, który można zapisać. Ta luka może zostać wykorzystana do wyłączenia samego WooCommerce, a tym samym pozbycia się wszystkich ograniczeń na koncie menedżera sklepu, ponieważ „ Usuwając główny plik WooCommerce,woocommerce.php, WordPress nie będzie mógł załadować wtyczki, a następnie ją wyłączy ”, Jak mówi Simon na swoim blogu.

Rozwiązanie

Chociaż luka jest dość krytyczna, dobrą wiadomością jest to, że tak jest załatane w wersji 3.4.6 WooCommerce w zeszłym miesiącu. Jeśli korzystasz z WooCommerce w swojej witrynie, zdecydowanie zaleca się zaktualizowanie wtyczki WooCommerce i samego Wordpressa , aby upewnić się, że pozbędziesz się wspomnianej luki.