
Envato’nun WooCommerce Dinamik Fiyatlandırma ve İndirimler eklentisindeki bir çift güvenlik açığı, kimliği doğrulanmamış saldırganların yamasız sürümleri çalıştıran web sitelerine kötü amaçlı kod enjekte etmesine izin verebilir. Bu, kimlik avı sayfalarına web sitesi yönlendirmeleri, ürün sayfalarına kötü amaçlı komut dosyaları eklenmesi ve daha fazlası dahil olmak üzere çeşitli saldırılara neden olabilir.
Envato Market’te 19.700’den fazla satışı olan eklenti, çevrimiçi perakendeciler için özel teklifler, toplu fiyatlandırma, kademeli fiyatlandırma, paket fiyatlandırma, günün fırsatları, flaş satışlar, toptan fiyatlandırma, üye fiyatlandırması dahil olmak üzere çeşitli fiyatlandırma ve promosyon araçları sunar. Bireysel fiyatlandırma, sadakat programları, davranışsal fiyatlandırma, lokasyon bazlı fiyatlandırma vb. Ayrıca koşullu fiyat artışını ve ekstra ücretleri de destekler.
Ninja Technologies Network’teki araştırmacılara göre, kimliği doğrulanmayan iki güvenlik açığı 2.4.1 ve önceki sürümleri etkiliyor. Birincisi, yüksek önemde depolanan siteler arası komut dosyası çalıştırma (XSS) hatasıdır; ikincisi, orta önem düzeyindeki ayarları dışa aktarma sorunudur.
NinTech’in Salı günkü yazısına göre, XSS hatası “wc-dynamic-pricing-and-discounts/classes/rp-wcdpd-settings.class.php” betiğinin __construct yönteminde var .
Araştırmacılar, “Bir yetenek kontrolü ve bir güvenlik özelliğinden yoksundur ve bu nedenle, kimliği doğrulanmış olsun veya olmasın herkes tarafından erişilebilir” dedi. “Kimliği doğrulanmamış bir kullanıcı eklentinin ayarlarını içe aktarabilir. Bazı alanlar sterilize edilmediğinden, saldırgan içe aktarılan JSON kodlu dosyaya JavaScript kodu ekleyebilir.”
Başarılı olursa, kod WooCommerce e-mağazasının her ürün sayfasında yürütüleceğini eklediler. Ayrıca, saldırganlar JavaScript kodunu, ziyaretçileri ve müşterileri kötü amaçlı bir web sitesine yönlendirmek için kullanılabilecek Meta Yenileme etiketi gibi herhangi bir HTML etiketiyle değiştirebilir.
Ayrıca, içe aktarma işlevi, bir kullanıcının web uygulamasının güvendiği bir siteden yetkisiz komutlar gönderebildiği siteler arası istek sahteciliği (CSRF) saldırılarına karşı bir güvenlik nonce’sinden yoksundur.
İkinci hata, bir çekirdek dışa aktarma işlevinin bir yetenek kontrolünden yoksun olması ve kimliği doğrulanmış olsun veya olmasın herkes tarafından erişilebilir olması nedeniyle ortaya çıkar.
NinTechNet’e göre, “Kimliği doğrulanmamış bir kullanıcı eklentinin ayarlarını dışa aktarabilir, JavaSript kodunu JSON dosyasına enjekte edebilir ve önceki güvenlik açığını kullanarak yeniden içe aktarabilir”.
Araştırmacılar, CSRF kontrolü hala sabitlenmemiş olsa da, sorunlar 2.4.2 sürümünde düzeltildi.
WordPress için popüler e-ticaret platformu olan WooCommerce kullanıcıları, güvenlik sorunlarına yama yapmak zorunda kalmaya yabancı değiller ve yama konusunda bilgi sahibi olmak önemlidir. Örneğin geçen ay WooCommerce , çekirdek platformdaki kritik bir SQL enjeksiyon güvenlik açığı ve örneğin sıfır gün hatası olarak saldırıya uğrayan ilgili bir eklenti için acil durum düzeltmelerini hızlandırdı. Hata, kimliği doğrulanmamış siber saldırganların bir çevrimiçi mağazanın veri tabanından (müşteri verilerinden ve ödeme kartı bilgilerinden çalışan kimlik bilgilerine kadar) çok sayıda bilgi ile kaçmasına izin verebilir.