अमेरिकी सरकार के राष्ट्रीय भेद्यता डेटाबेस (एनवीडी) ने 135,000 से अधिक इंस्टॉलेशन को प्रभावित करने वाले पांच WooCommerce वर्डप्रेस प्लगइन्स में कमजोरियों की चेतावनी प्रकाशित की।
कई कमजोरियों की गंभीरता गंभीर से लेकर गंभीर तक होती है और 1-10 के पैमाने पर 9.8 रेटिंग दी जाती है।
प्रत्येक भेद्यता को खोजी गई कमजोरियों को एक सीवीई पहचान संख्या (सामान्य भेद्यता और एक्सपोजर) दिया गया था।
1. WooCommerce के लिए उन्नत ऑर्डर निर्यात
WooCommerce प्लगइन के लिए उन्नत ऑर्डर निर्यात, 100,000 से अधिक वेबसाइटों में स्थापित, क्रॉस-साइट अनुरोध जालसाजी (CSRF) हमले की चपेट में है।
एक क्रॉस-साइट अनुरोध जालसाजी (सीएसआरएफ) भेद्यता एक वेबसाइट प्लगइन में एक दोष से उत्पन्न होती है जो एक हमलावर को एक वेबसाइट उपयोगकर्ता को एक अनपेक्षित कार्रवाई करने के लिए छल करने की अनुमति देती है।
वेबसाइट ब्राउज़र में आमतौर पर कुकीज़ होती हैं जो एक वेबसाइट को बताती हैं कि एक उपयोगकर्ता पंजीकृत है और लॉग इन है। एक हमलावर एक व्यवस्थापक के विशेषाधिकार स्तरों को मान सकता है। यह हमलावर को एक वेबसाइट तक पूर्ण पहुंच प्रदान करता है, संवेदनशील ग्राहक जानकारी को उजागर करता है, और इसी तरह।
यह विशिष्ट भेद्यता निर्यात फ़ाइल डाउनलोड का कारण बन सकती है। भेद्यता विवरण यह वर्णन नहीं करता है कि हमलावर द्वारा कौन सी फ़ाइल डाउनलोड की जा सकती है।
यह देखते हुए कि प्लगइन का उद्देश्य WooCommerce ऑर्डर डेटा निर्यात करना है, यह मान लेना उचित हो सकता है कि ऑर्डर डेटा एक तरह की फ़ाइल है जिसे एक हमलावर एक्सेस कर सकता है।
आधिकारिक भेद्यता विवरण:
“WooCommerce प्लगइन के लिए उन्नत ऑर्डर निर्यात में क्रॉस-साइट अनुरोध जालसाजी (सीएसआरएफ) भेद्यता <= 3.3.2 वर्डप्रेस पर फ़ाइल डाउनलोड निर्यात करने के लिए अग्रणी।"
भेद्यता WooCommerce प्लगइन के लिए उन्नत ऑर्डर निर्यात के सभी संस्करणों को प्रभावित करती है जो संस्करण 3.3.2 से कम या उसके बराबर हैं।
आधिकारिक प्लगइन के लिए चैंज नोट करता है कि भेद्यता को संस्करण 3.3.3 में पैच किया गया था।
राष्ट्रीय सुभेद्यता डेटाबेस (एनवीडी) पर और पढ़ें: सीवीई-2022-40128
2. WooCommerce के लिए उन्नत गतिशील मूल्य निर्धारण
दूसरा प्रभावित प्लगइन WooCommerce के लिए उन्नत गतिशील मूल्य निर्धारण प्लगइन है जो 20,000 से अधिक वेबसाइटों में स्थापित है।
इस प्लगइन को दो क्रॉस-साइट अनुरोध जालसाजी (सीएसआरएफ) कमजोरियों के लिए खोजा गया था जो 4.1.6 से कम के सभी प्लगइन संस्करणों को प्रभावित करते हैं।
प्लगइन का उद्देश्य व्यापारियों के लिए छूट बनाना आसान बनाना है और मूल्य निर्धारण नियम.
पहली भेद्यता (CVE-2022-43488) के कारण “नियम प्रकार माइग्रेशन।”
यह कुछ अस्पष्ट है। शायद एक धारणा बनाई जा सकती है कि मूल्य निर्धारण नियमों को बदलने की क्षमता के साथ भेद्यता का कुछ संबंध हो सकता है।
एनवीडी में प्रदान किया गया आधिकारिक विवरण:
“WooCommerce प्लगइन के लिए उन्नत गतिशील मूल्य निर्धारण में क्रॉस-साइट अनुरोध जालसाजी (CSRF) भेद्यता <= 4.1.5 वर्डप्रेस पर नियम प्रकार प्रवास के लिए अग्रणी।"
एनवीडी में और पढ़ें: सीवीई-2022-43488
NVD ने WooCommerce प्लगइन के लिए उन्नत गतिशील मूल्य निर्धारण में दूसरी CSRF भेद्यता को CVE नंबर, CVE-2022-43491 सौंपा।
भेद्यता का आधिकारिक एनवीडी विवरण है:
“WooCommerce प्लगइन के लिए उन्नत गतिशील मूल्य निर्धारण में क्रॉस-साइट अनुरोध जालसाजी (सीएसआरएफ) भेद्यता <= 4.1.5 वर्डप्रेस पर प्लगइन सेटिंग्स आयात करने के लिए अग्रणी।"
आधिकारिक प्लगइन चेंजलॉग टिप्पणियाँ:
“चेंजलॉग – 4.1.6 – 2022-10-26”
कुछ सीएसआरएफ और टूटी हुई अभिगम नियंत्रण कमजोरियों को ठीक किया ”
एनवीडी की आधिकारिक घोषणा पढ़ें: सीवीई-2022-43491
3. WooCommerce कूपन प्लगइन के लिए उन्नत कूपन
तीसरा प्रभावित प्लगइन, WooCommerce कूपन के लिए उन्नत कूपन, में 10,000 से अधिक इंस्टॉल हैं।
इस प्लगइन में खोजी गई समस्या भी एक CSRF भेद्यता है और 4.5.01 से कम के सभी संस्करणों को प्रभावित करती है।
प्लगइन चेंजलॉग पैच a . कहते हैं बग ठीक करें?
“4.5.0.1”
बग फिक्स: आरंभ करने के नोटिस को खारिज करने के लिए AJAX अनुरोध का कोई गैर-मूल्य नहीं है।”
आधिकारिक एनवीडी विवरण है:
“WooCommerce कूपन प्लगइन के लिए उन्नत कूपन में क्रॉस-साइट अनुरोध जालसाजी (CSRF) भेद्यता <= 4.5 वर्डप्रेस पर नोटिस बर्खास्तगी के लिए अग्रणी।"
एनवीडी में और पढ़ें: सीवीई-2022-43481
4. ओपीएमसी द्वारा WooCommerce ड्रॉपशीपिंग – महत्वपूर्ण
चौथा प्रभावित सॉफ्टवेयर ओपीएमसी प्लगइन द्वारा WooCommerce Dropshipping है जिसमें 3,000 से अधिक इंस्टॉलेशन हैं।
संस्करण 4.4 से कम के इस प्लगइन के संस्करणों में 9.8 (1-10 के पैमाने पर) रेटेड एक अनधिकृत SQL इंजेक्शन भेद्यता है और इसे क्रिटिकल के रूप में लेबल किया गया है।
सामान्य तौर पर, एक SQL इंजेक्शन भेद्यता एक हमलावर को वर्डप्रेस डेटाबेस में हेरफेर करने और व्यवस्थापक-स्तरीय अनुमतियों को ग्रहण करने, डेटाबेस में परिवर्तन करने, डेटाबेस को मिटाने या संवेदनशील डेटा डाउनलोड करने की अनुमति देता है।
NVD इस विशिष्ट प्लगइन भेद्यता का वर्णन करता है:
“4.4 से पहले WooCommerce ड्रॉपशीपिंग वर्डप्रेस प्लगइन गैर-प्रमाणित उपयोगकर्ताओं के लिए उपलब्ध REST समापन बिंदु के माध्यम से SQL कथन में उपयोग करने से पहले एक पैरामीटर को ठीक से साफ और बच नहीं पाता है, जिससे SQL इंजेक्शन हो जाता है।”
एनवीडी में और पढ़ें: सीवीई-2022-3481
अधिकारी पढ़ें प्लगइन चैंज।
5. WooCommerce के लिए भूमिका आधारित मूल्य निर्धारण
WooCommerce प्लगइन के लिए भूमिका आधारित मूल्य निर्धारण में दो क्रॉस-साइट अनुरोध जालसाजी (CSRF) कमजोरियां हैं। इस प्लगइन के 2,000 इंस्टॉलेशन हैं।
जैसा कि एक अन्य प्लगइन के बारे में बताया गया है, एक सीएसआरएफ भेद्यता में आम तौर पर एक हमलावर शामिल होता है जो एक व्यवस्थापक या अन्य उपयोगकर्ता को एक लिंक पर क्लिक करने या कुछ अन्य कार्रवाई करने के लिए धोखा देता है। इसके परिणामस्वरूप हमलावर उपयोगकर्ता की वेबसाइट अनुमति स्तर प्राप्त कर सकता है।
इस भेद्यता को 8.8 उच्च दर्जा दिया गया है।
पहली भेद्यता का एनवीडी विवरण चेतावनी देता है:
“1.6.2 से पहले WooCommerce वर्डप्रेस प्लगइन के लिए भूमिका आधारित मूल्य निर्धारण में प्राधिकरण और उचित सीएसआरएफ जांच नहीं है, और अपलोड की जाने वाली फाइलों को मान्य नहीं करता है, जिससे ग्राहक जैसे किसी भी प्रमाणित उपयोगकर्ता को मनमानी फाइलें अपलोड करने की इजाजत मिलती है, जैसे PHP”
दूसरी भेद्यता का आधिकारिक एनवीडी विवरण निम्नलिखित है:
“1.6.3 से पहले WooCommerce वर्डप्रेस प्लगइन के लिए भूमिका आधारित मूल्य निर्धारण में प्राधिकरण और उचित सीएसआरएफ जांच नहीं है, साथ ही उपयोगकर्ता इनपुट के माध्यम से दिए गए पथ को मान्य नहीं करता है, जिससे ग्राहक जैसे किसी भी प्रमाणित उपयोगकर्ता को PHAR अक्रमांकन हमले करने की अनुमति मिलती है जब वे एक अपलोड कर सकते हैं। फ़ाइल, और ब्लॉग पर एक उपयुक्त गैजेट श्रृंखला मौजूद है”
WooCommerce WordPress प्लगइन के लिए आधिकारिक भूमिका आधारित मूल्य निर्धारण बदलाव का सलाह देता है कि प्लगइन 1.6.2 संस्करण में पूरी तरह से पैच किया गया है:
“चेंजलॉग 2022-10-01 – संस्करण 1.6.2”
* मनमाना फ़ाइल अपलोड भेद्यता फिक्स्ड।
* अजाक्स नॉन चेक की समस्या को ठीक किया।
आधिकारिक एनवीडी दस्तावेज पढ़ें:
कार्रवाई के दौरान
सभी कमजोर प्लगइन्स को अपडेट करना एक अच्छा अभ्यास माना जाता है। कोई भी प्लगइन अपडेट करने से पहले साइट का बैकअप लेना और (यदि संभव हो) साइट को चरणबद्ध करना और अपडेट करने से पहले प्लगइन का परीक्षण करना भी सबसे अच्छा अभ्यास है।
शटरस्टॉक / मास्टर1305 द्वारा विशेष रुप से प्रदर्शित छवि