Er is ontdekt dat de WooCommerce Stripe-betalingsgateway-plug-in een kwetsbaarheid heeft waardoor een aanvaller persoonlijk identificeerbare informatie (PII) van klanten kan stelen uit winkels die de plug-in gebruiken. Beveiligingsonderzoekers waarschuwen dat hackers geen authenticatie nodig hebben om de exploit uit te voeren, die hoog werd gewaardeerd met een 7,5 op een schaal van 1 tot 10.
WooCommerce Stripe Payment Gateway-plug-in
De Stripe-betalingsgateway-plug-in is ontwikkeld door WooCommerce, Automattic, WooThemes en andere bijdragers en is geïnstalleerd op meer dan 900.000 websites. Het biedt klanten een gemakkelijke manier om met veel verschillende creditcards in WooCommerce-winkels te betalen zonder een account te openen. Bij het afrekenen wordt automatisch een Stripe-account aangemaakt, waardoor klanten gemakkelijk online kunnen winkelen. De plug-in werkt via een Application Programming Interface (API). De API is als een brug tussen de twee stukjes software waarmee een WooCommerce-winkel kan communiceren met de software van Stripe om bestellingen van de website naar Stripe naadloos te verwerken.
Wat is de kwetsbaarheid van de WooCommerce Stripe-plug-in?
Patchstack-beveiligingsonderzoekers ontdekten de kwetsbaarheid en maakten deze op verantwoorde wijze bekend aan de juiste partijen.
Volgens beveiligingsonderzoekers van Patchstack:
“Deze plug-in lijdt aan een niet-geverifieerde onveilige direct object reference (IDOR) kwetsbaarheid.” Door dit beveiligingslek kan elke niet-geverifieerde gebruiker de PII van elke WooCommerce-bestelling bekijken, inclusief e-mail. e-mailadres, gebruikersnaam en volledig adres.
Versies van de WooCommerce Stripe-plug-in getroffen
De kwetsbaarheid treft eerdere versies dan versie 7.4.0. De ontwikkelaars die aan de plug-in zijn gekoppeld, hebben deze bijgewerkt naar versie 7.4.1, wat de veiligste versie is.
Dit waren de beveiligingsupdates die zijn gemaakt volgens de officiële changelog van de plug-in:
- “Fix – voeg bestelsleutelbevestiging toe.
- Fix – Voeg desinfectie toe en verwijder enkele uitgangen.
Er zijn verschillende problemen die moeten worden aangepakt. Ten eerste lijkt er een gebrek aan validatie te zijn, wat meestal een controle is om te bevestigen dat het verzoek is gedaan door een bevoegde entiteit. Een andere is opschoning, wat verwijst naar het proces van het blokkeren van ongepaste invoer. Als de invoer bijvoorbeeld alleen tekst toestaat, moet deze zo worden ingesteld dat het laden van scripts niet is toegestaan. De changelog vermeldt exit-escape, wat een manier is om ongewenste en kwaadaardige invoer te blokkeren.
Het Open Worldwide Application Security Project (OWASP), een non-profit beveiligingsorganisatie, legt het als volgt uit:
“Coderen en ontsnappen zijn verdedigingstechnieken om injectieaanvallen te stoppen.
De officiële WordPress API Guide legt het als volgt uit:
“Uitvoerstrippen is het proces waarbij uitvoergegevens worden beschermd door ongewenste gegevens zoals verkeerd opgemaakte HTML- of scripttags te verwijderen. Dit proces helpt uw gegevens te beschermen voordat deze worden vrijgegeven aan de eindgebruiker. Gebruikers van plug-ins wordt sterk aangeraden om hun plug-ins onmiddellijk bij te werken naar versie 7.4.1
Lees het Patchstack-beveiligingsadvies:
Niet-geverifieerde IDOR naar AII-openbaarmaking in WooCommerce Stripe Gateway-plug-in
Uitgelichte afbeelding door Shutterstock/FedorAnisimov