WooCommerce logo allikas - WooCommerce
Kui teil on kunagi olnud e-kaubanduse veebisait, on peaaegu senti protsenti tõenäoline, et olete kuulnud populaarsest e-kaubanduse veebisaitide pistikprogrammist WooCommerce. WooCommerce on üle 35% Interneti-e-kaubanduse veebisaitidest ja üle 4 miljoni installimisega on üks usaldusväärsemaid pistikprogramme kasutajatele, kes soovivad omada oma veebipoodi. Kui olete WooCommerce'i pistikprogrammi kasutaja, on mõned olulised uudised, millest te ei tohiks ilma jääda.
Tehnilised omadused
Simon Scannell, RIPS Technologies GmbH teadur, avastatud pistikprogrammi haavatavus (krediteeritakse HäkkerNews blogipostituse leidmiseks), mis väidetavalt võimaldab pahatahtlikul või ohustatud privilegeeritud kasutajal saada täielik kontroll veebisaidi üle, kui nad kasutavad pistikprogrammi valimata versiooni. Simoni ajaveebi haavatavuse kirjeldus on järgmine:
Viga WordPressi õiguste käsitsemisel võib viia WordPressi pistikprogrammide privileegide eskaleerumiseni. See mõjutab näiteks kõige populaarsemat e-kaubanduse pistikprogrammi WooCommerce, millel on üle 4 miljoni installi. Haavatavus lubab kaupluse juhatajad serveris teatud failide kustutamiseks ja seejärel kõigi administraatorikontode ülevõtmiseks.
Simon avaldab oma blogipostis veelgi tehnilisi üksikasju ekspluateerimise kohta. Ta paljastab, kuidas Wordpress lubab automaatselt kontosid edit_users ”Luba muuta ka administraatori konto mandaate. Kuid sellised pistikprogrammid nagu WooCommerce sisaldavad metavõimalusi, mis on rakendatud funktsioonidena ja mille tagastusväärtus otsustab, kas praegune kasutaja saab seda toimingut teha. See takistab poehalduritel administraatorikontosid redigeerimast.
Viga
Peamine puudus viisis, kuidas Wordpress neid kontoõigusi käsitleb, on see, et antud pistikprogrammi metavõimalused täidetakse ainult siis, kui pistikprogramm on aktiivne. Kui juhuslikult WooCommerce plugin keelatakse, siis kõik kasutajakontod, millel on edit_users ”Luba saab ka administraatori kontodega ringi käia ja seega kogu veebisaidi üle võtta.
Ehkki pistikprogramme saavad keelata ainult administraatorid, lubab WooCommerce'i suvaline failide kustutamise haavatavus poepidajatel kustutada kõik serverist kirjutatavad failid. Seda haavatavust saab kasutada WooCommerce'i enda keelamiseks ja seeläbi kaupluse haldajakonto kõikidest piirangutest vabanemiseks, kuna Kustutades WooCommerce'i põhifaili,woocommerce.php, WordPress ei saa pistikprogrammi laadida ja seejärel keelab selle ”Nagu Simon oma blogis ütleb.
Lahendus
Kuigi haavatavus on üsna kriitiline, on hea uudis see, et on parandatud versioonis 3.4.6 eelmisel kuul WooCommerce'ist. Kui kasutate oma veebisaidil WooCommerce'i, on väga soovitatav värskendada oma WooCommerce'i pistikprogrammi ja ka Wordpressi ennast , veendumaks, et vabanete eelmainitud haavatavusest.
Sildid Turvalisus WordPress
