חברת RIPS Technologies גילתה בעיה ב-WordPress וב-WooCommerce, תוסף המסחר האלקטרוני שפותח על ידי Automattic. לפי הנתונים הרשמיים, הפתרון הורד יותר מארבעה מיליון פעמים, ומספר ההתקנות הפעילות שלו כמעט זהה.
Les chercheurs expliquent qu’il y a deux problèmes ici.
כך, בעת התקנת WooCommerce נוצר תפקיד חדש בשם Shop Manager (“מנהל חנות”), שיש לו הרשאות edit_users. הרשאה זו מאפשרת למשתמש לערוך פרסומים וכן את הפרופילים של כל משתמש אחר ב-WordPress, כולל המנהל הראשי.
נראה שמפתחי WooCommerce סיפקו פונקציה שמונעת ממשתמשים בעלי תפקיד זה להתערב בפרופילים של מנהלי האתר. אולם בשל פגם באופן פעולתה של מערכת ניהול ההרשאות של התוספים, כאשר WooCommerce מושבת, פונקציית ההגבלה על “מנהלי החנות” מפסיקה לפעול, ומשתמשים בעלי תפקיד זה יכולים לערוך באופן חופשי את החשבונות של משתמשים אחרים.
לכן, הדרך האמינה היחידה להשבית את התוסף היא שהמנהל ישבית אותו וימחק את כל הקבצים שלו. וכאן מגיעה הבעיה השנייה.
העניין הוא שהאנליסטים של RIPS Technologies גילו באג הקשור למחיקת קבצי WooCommerce בגרסה 3.4.5 ומטה. התברר שמשתמשים בעלי הרשאות Shop Manager יכולים למחוק כל קובץ של התוסף, כולל קבצים החיוניים לפעולתו. בהמשך התוסף יפסיק לפעול באופן צפוי, WordPress ישבית אותו אוטומטית, והמצב יחזור לאמור לעיל, כאשר משתמש בעל תפקיד מנהל חנות יכול לערוך את הפרופילים של כל משתמש.
החוקרים מסבירים שבמצב כזה לא יתקשה התוקף להשתלט על חשבון המנהל, ובכך לשלוט באתר כולו. הסרטון שלהלן ממחיש שילוב של שתי הבעיות במקרה זה.
המומחים מדגישים כי כדי לנצל את המערכת בהצלחה, על התוקף לקבל גישה לחשבון בעל תפקיד מנהל חנות. עם זאת, לדברי החוקרים, ניתן להשיג זאת באמצעות פרצות XSS או מתקפות פישינג.
מפתחי WooCommerce כבר תיקנו את הבעיה בפרסום גרסה חדשה של התוסף (3.4.6). מכיוון שהעדכון האוטומטי של תוספים אינו מופעל כלל, המומחים ממליצים למשתמשים לבדוק אם קיימים עדכונים ולוודא שהם עובדים עם הגרסאות העדכניות ביותר של WooCommerce.
