RIPS Technologies a découvert un problème avec WordPress et le plug-in de commerce électronique WooCommerce créé par Automattic. Selon les statistiques officielles, cette solution a été téléchargée plus de quatre millions de fois et compte à peu près le même nombre d’installations actives.
Forskerne forklarer at det er to problemer her. Det første problemet er at når utvidelsen installeres i WordPress, som bruker ulike roller for brukerne, oppretter den ikke et eget autentiseringssystem, men bruker CMS-ets eksisterende system for rettigheter. For å gjøre dette oppretter utvidelsen en ny rolle med nye WordPress-funksjoner, og begrenser deretter rollens samhandling med CMS-ets innstillinger og andre brukere gjennom sine egne funksjoner.
Når WooCommerce installeres, opprettes det dermed en ny rolle for Shop Manager («butikksjef»), som har rettighetene edit_users. Denne tillatelsen gjør det mulig for brukeren å redigere innlegg samt profilene til alle andre brukere i WordPress, inkludert administratoren.
Det ser ut til at WooCommerce-utviklerne har laget en funksjon som hindrer brukere med denne rollen i å gripe inn i administratorenes profiler. Men på grunn av en feil i hvordan utvidelsenes system for rettighetsstyring fungerer, slutter begrensningsfunksjonen for «butikksjefer» å virke når WooCommerce deaktiveres, og brukere med denne rollen kan fritt endre andre brukeres kontoer.
Derfor er den eneste pålitelige måten å deaktivere utvidelsen på, å la administratoren deaktivere den og slette alle filene dens. Og her kommer det andre problemet.
Saken er at analytikerne i RIPS Technologies har oppdaget en feil knyttet til sletting av WooCommerce-filer i versjon 3.4.5 og eldre. Det viste seg at brukere med Shop Manager-rettigheter kan slette hvilken som helst fil i utvidelsen, inkludert de som er avgjørende for at den skal fungere. Deretter slutter utvidelsen å fungere på en forutsigbar måte, WordPress deaktiverer den automatisk, og situasjonen er tilbake til den som er beskrevet ovenfor, der en bruker med rollen som butikksjef kan endre profilene til alle brukere.
Forskerne forklarer at en angriper i en slik situasjon uten problemer kan ta over administratorkontoen, og dermed kontrollere hele nettstedet. Videoen nedenfor viser en kombinasjon av de to problemene i saken.
Ekspertene understreker at for å kunne utnytte dette systemet må en angriper ha tilgang til en konto med rollen som butikksjef. Ifølge forskerne er dette imidlertid mulig gjennom XSS-sårbarheter eller phishing-angrep.
WooCommerce-utviklerne har allerede rettet feilen og utgitt en ny versjon av utvidelsen (3.4.6). Siden automatisk oppdatering av utvidelser slett ikke er aktivert overalt, anbefaler ekspertene brukerne å se etter oppdateringer og forsikre seg om at de kjører de nyeste versjonene av WooCommerce.
