PLUGIN WORDPRESS UNTUK WOOCOMMERCE DITEMUI MEMPUNYAI KELEMAHAN KRITIKAL

TELAH DIGUNAKAN OLEH LEBIH 30,000 LAMAN WEB

“Abandoned Cart Lite For WooCommerce” sebuah plugin WordPress yang telah terpasang lebih daripada 30,000 laman web ditemui mempunyai satu kelemahan keselamatan yang kritikal.

“Kelemahan ini membolehkan pihak penggodam mendapatkan akses ke akaun pengguna yang telah meninggalkan troli mereka, yang biasanya merupakan pelanggan tetapi boleh melibatkan pengguna lain yang lebih tinggi apabila syarat yang betul dipenuhi,” kata Wordfence dari Defiant dalam satu pengumuman.

Kekurangan ini diberikan penarafan 9.8 daripada 10 untuk tahap kritikal dalam sistem penarafan CVSS, Dikenalpasti sebagai CVE-2023-2986. Ia memberi kesan kepada semua versi plugin, termasuk dan sebelum versi 5.14.2.

Pada asasnya permasalahan ini adalah kes pengelakan pengesahan yang timbul akibat kekurangan perlindungan penyulitan yang diterapkan apabila pelanggan diberitahu bahawa mereka telah meninggalkan troli belian mereka di laman web e-dagang tanpa menyelesaikan pembelian.

Secara khusus, kunci penyulitan telah disahkan secara tetap dalam plugin tersebut, membolehkan penggodam log masuk sebagai pengguna dengan troli belian yang ditinggalkan.

Walau bagaimanapun, terdapat peluang bahawa dengan mengeksploitasi kelemahan pengelakan pengesahan, pihak pengodam boleh mendapatkan akses ke akaun pengguna pentadbiran, atau akaun pengguna tahap yang lebih tinggi jika mereka telah menguji fungsi troli yang ditinggalkan,” kata penyelidik keselamatan István Márton.

Selepas pendedahan yang bertanggungjawab pada 30 Mei 2023, kelemahan tersebut telah diselesaikan oleh pembangun plugin, Tyche Softwares, pada 6 Jun 2023, dengan versi 5.15.0. Versi semasa Abandoned Cart Lite for WooCommerce adalah 5.15.2.

Pendedahan ini berlaku apabila Wordfence mendedahkan kelemahan pengelakan pengesahan lain yang memberi kesan kepada pemalam “Booking Calendar | Appointment Booking | BookIt” oleh StylemixThemes (CVE-2023-2834, skor CVSS: 9.8) yang mempunyai lebih daripada 10,000 pemasangan WordPress.

“Ini disebabkan oleh kekurangan pengesahan pada pengguna yang disediakan semasa membuat janji temu melalui pemalam tersebut,” jelas Márton. “Ini membolehkan pihak serang yang tidak disahkan untuk log masuk sebagai pengguna sedia ada di laman web, seperti pentadbir, jika mereka mempunyai akses kepada emel tersebut.”

Kelemahan ini, yang memberi kesan kepada versi 2.3.7 dan yang lebih awal, telah diselesaikan dalam versi 2.3.8 yang dikeluarkan pada 13 Jun 2023.

SUMBER: https://thehackernews.com/2023/06/critical-flaw-found-in-wordpress-plugin.html