RIPS Technologies a découvert un समस्या की खोज की है जो WordPress और Automattic द्वारा बनाए गए ई-कॉमर्स प्लगइन WooCommerce से जुड़ी है। आधिकारिक आंकड़ों के अनुसार, इस समाधान को चार मिलियन से अधिक बार डाउनलोड किया गया है और इसकी लगभग उतनी ही सक्रिय स्थापनाएँ हैं।
शोधकर्ताओं के अनुसार यहाँ दो समस्याएँ हैं।
पहली समस्या यह है कि जब यह प्लगइन WordPress में स्थापित किया जाता है, जो उपयोगकर्ताओं के लिए अलग-अलग भूमिकाओं का उपयोग करता है, तो यह अपनी स्वयं की प्रमाणीकरण प्रणाली नहीं बनाता, बल्कि मौजूदा CMS विशेषाधिकार प्रणाली का उपयोग करता है।
ऐसा करने के लिए, प्लगइन WordPress की नई सुविधाओं के साथ एक नई भूमिका बनाता है, फिर अपने स्वयं के फ़ंक्शन के माध्यम से CMS सेटिंग्स और अन्य उपयोगकर्ताओं के साथ उसकी अंतःक्रिया को सीमित करता है।
इस प्रकार, WooCommerce स्थापित होने पर, Shop Manager («store manager») के लिए एक नई भूमिका बनाई जाती है, जिसके पास edit_users अधिकार होते हैं।
यह अनुमति उपयोगकर्ता को प्रशासक सहित WordPress के किसी भी अन्य उपयोगकर्ता की प्रोफ़ाइल और पोस्ट बदलने की अनुमति देती है।
ऐसा प्रतीत होता है कि WooCommerce के डेवलपर्स ने एक ऐसा फ़ंक्शन प्रदान किया है जो इस भूमिका वाले उपयोगकर्ताओं को प्रशासकों की प्रोफ़ाइल में हस्तक्षेप करने से रोकता है।
लेकिन प्लगइन विशेषाधिकार प्रबंधन प्रणाली के संचालन में एक दोष के कारण, जब WooCommerce निष्क्रिय होता है, तो «store managers» के लिए प्रतिबंध वाला फ़ंक्शन काम करना बंद कर देता है, और इस भूमिका वाले उपयोगकर्ता अन्य उपयोगकर्ताओं के खातों को स्वतंत्र रूप से बदल सकते हैं।
इसलिए, प्लगइन को निष्क्रिय करने का एकमात्र विश्वसनीय तरीका प्रशासक द्वारा इसे निष्क्रिय करना और इसकी सभी फ़ाइलों को हटाना है।
और यहीं दूसरी समस्या आती है।
तथ्य यह है कि RIPS Technologies के विश्लेषकों ने संस्करण 3.4.5 और उससे पुराने WooCommerce की फ़ाइलों को हटाने से जुड़ी एक बग की खोज की है। यह पता चला कि Shop Manager अधिकारों वाले उपयोगकर्ता प्लगइन की कोई भी फ़ाइल हटा सकते हैं, जिनमें वे फ़ाइलें भी शामिल हैं जो इसके काम के लिए आवश्यक हैं। इसके बाद, प्लगइन अनुमानित रूप से काम करना बंद कर देगा, WordPress उसे स्वतः निष्क्रिय कर देगा, और स्थिति फिर वैसी ही हो जाएगी जैसी पहले थी, जब शॉप मैनेजर की भूमिका वाला उपयोगकर्ता किसी भी उपयोगकर्ता की प्रोफ़ाइल बदल सकता है।
शोधकर्ताओं के अनुसार, ऐसी स्थिति में हमलावर को प्रशासक खाते पर कब्ज़ा करने में कोई कठिनाई नहीं होगी, और इस तरह पूरी साइट को नियंत्रित कर सकेगा।
नीचे दिया गया वीडियो इस मामले की दोनों समस्याओं के संयोजन को दर्शाता है।
विशेषज्ञों का कहना है कि इस प्रणाली का सफलतापूर्वक उपयोग करने के लिए, हमलावर के पास शॉप मैनेजर की भूमिका वाले खाते तक पहुँच होनी चाहिए।
हालाँकि, शोधकर्ताओं के अनुसार, यह XSS कमज़ोरियों या फ़िशिंग हमलों के माध्यम से संभव है।
WooCommerce के डेवलपर्स ने प्लगइन का नया संस्करण (3.4.6) जारी करके इस समस्या को पहले ही दूर कर दिया है। चूँकि प्लगइन का स्वचालित अपडेट बिल्कुल शामिल नहीं है, विशेषज्ञ उपयोगकर्ताओं को अपडेट खोजने और यह सुनिश्चित करने की सलाह देते हैं कि वे WooCommerce के नवीनतम संस्करणों के साथ काम कर रहे हैं।
