RIPS Technologies a découvert un problème avec WordPress et le plug-in de commerce électronique WooCommerce créé par Automattic. Selon les statistiques officielles, cette solution a été téléchargée plus de quatre millions de fois et compte à peu près le même nombre d’installations actives.
Forskerne forklarer, at der er to problemer her. Det første problem er, at når pluginet installeres i WordPress, som bruger forskellige roller til brugerne, opretter det ikke sit eget autentificeringssystem, men benytter CMS’ets eksisterende rettighedssystem. Til dette formål opretter pluginet en ny rolle med nye WordPress-funktioner og begrænser derefter rollens interaktion med CMS’ets indstillinger og andre brugere via sine egne funktioner.
Når WooCommerce installeres, oprettes der således en ny rolle, Shop Manager («butiksleder»), som har rettigheden edit_users. Denne tilladelse gør det muligt for brugeren at redigere indlæg samt profilerne for alle andre WordPress-brugere, administratoren inklusive.
Det ser ud til, at WooCommerce-udviklerne har indbygget en funktion, der forhindrer brugere med denne rolle i at pille ved administratorernes profiler. Men på grund af en fejl i den måde, pluginets rettighedsstyring fungerer på, holder begrænsningen for «butiksledere» op med at virke, når WooCommerce deaktiveres, og brugere med denne rolle kan frit redigere andre brugeres konti.
Den eneste pålidelige måde at deaktivere pluginet på er derfor, at administratoren deaktiverer det og sletter alle dets filer. Og her kommer det andet problem.
Sagen er, at analytikere fra RIPS Technologies har opdaget en fejl i forbindelse med sletning af WooCommerce-filer i version 3.4.5 og ældre. Det viste sig, at brugere med Shop Manager-rettigheder kan slette en hvilken som helst fil i pluginet, også dem, der er afgørende for dets funktion. Herefter holder pluginet op med at fungere som forudsigeligt, WordPress deaktiverer det automatisk, og situationen vender tilbage til det ovenfor beskrevne, hvor en bruger med rollen som butikschef kan redigere profilerne for enhver bruger.
Forskerne forklarer, at en angriber i en sådan situation uden besvær kan overtage administratorkontoen og dermed kontrollere hele webstedet. Videoen nedenfor viser en kombination af sagens to problemer.
Eksperterne understreger, at en angriber for at kunne udnytte dette system med succes skal have adgang til en konto med rollen som butikschef. Ifølge forskerne kan det dog lade sig gøre via XSS-sårbarheder eller phishing-angreb.
WooCommerce-udviklerne har allerede rettet problemet ved at udgive en ny version af pluginet ( 3.4.6 ). Da automatisk opdatering af plugins slet ikke er aktiveret, anbefaler eksperterne, at brugerne søger efter opdateringer og sikrer sig, at de kører med de nyeste versioner af WooCommerce.
