RIPS Technologies menemukan sebuah masalah pada WordPress dan plugin e-commerce WooCommerce yang dibuat oleh Automattic. Menurut statistik resmi, solusi ini telah diunduh lebih dari empat juta kali dan memiliki jumlah instalasi aktif yang kurang lebih sama.
Para peneliti menjelaskan bahwa ada dua masalah di sini. Masalah pertama adalah ketika plugin dipasang pada WordPress, yang menggunakan peran berbeda untuk para penggunanya, plugin tersebut tidak membuat sistem autentikasinya sendiri, melainkan memakai sistem hak akses CMS yang sudah ada. Untuk itu, plugin membuat peran baru dengan fitur-fitur baru WordPress, lalu membatasi interaksinya dengan pengaturan CMS dan pengguna lain melalui fungsinya sendiri.
Jadi, saat WooCommerce dipasang, sebuah peran baru dibuat untuk Shop Manager («pengelola toko»), yang memiliki hak edit_users. Izin ini memungkinkan pengguna mengubah publikasi serta profil pengguna WordPress lainnya, termasuk administrator.
Tampaknya para pengembang WooCommerce telah menyediakan sebuah fungsi yang mencegah pengguna dengan peran ini mengutak-atik profil administrator. Namun karena adanya cacat pada cara kerja sistem pengelolaan hak akses plugin, ketika WooCommerce dinonaktifkan, fungsi pembatasan terhadap «pengelola toko» berhenti bekerja, sehingga pengguna dengan peran tersebut dapat dengan bebas mengubah akun pengguna lain.
Karena itu, satu-satunya cara andal untuk menonaktifkan plugin adalah dengan menonaktifkannya melalui administrator dan menghapus semua berkasnya. Dan inilah masalah kedua.
Faktanya, para analis dari RIPS Technologies menemukan sebuah bug terkait penghapusan berkas WooCommerce versi 3.4.5 dan yang lebih lama. Ternyata pengguna dengan hak akses Shop Manager dapat menghapus berkas apa pun dari plugin, termasuk berkas yang sangat penting bagi kinerjanya. Akibatnya, plugin akan berhenti bekerja secara tak terduga, WordPress akan menonaktifkannya secara otomatis, dan situasinya kembali seperti sebelumnya, yaitu pengguna dengan peran manajer toko dapat mengubah profil pengguna mana pun.
Para peneliti menjelaskan bahwa dalam situasi seperti itu, penyerang tidak akan kesulitan mengambil alih akun administrator, sehingga dapat menguasai seluruh situs. Video di bawah ini memperlihatkan kombinasi dari kedua masalah dalam kasus tersebut.
Para pakar menekankan bahwa, agar dapat memanfaatkan celah ini dengan berhasil, penyerang harus memiliki akses ke akun dengan peran manajer toko. Namun, menurut para peneliti, hal ini dapat dilakukan melalui kerentanan XSS atau serangan phishing.
Para pengembang WooCommerce sudah menutup celah tersebut dengan merilis versi baru plugin ( 3.4.6 ). Karena pembaruan otomatis plugin sama sekali tidak diaktifkan, para pakar menyarankan pengguna untuk memeriksa pembaruan dan memastikan mereka menggunakan WooCommerce versi terbaru.
