Компания RIPS Technologies обнаружила проблему в WordPress и плагине для электронной коммерции WooCommerce, созданном компанией Automattic. По официальной статистике, это решение скачали более четырёх миллионов раз, и примерно столько же у него активных установок.
Les chercheurs expliquent qu’il y a deux problèmes ici.
Так, при установке WooCommerce создаётся новая роль Shop Manager («менеджер магазина»), обладающая правами edit_users. Это разрешение позволяет пользователю изменять публикации, а также профили любых других пользователей WordPress, включая администратора.
Судя по всему, разработчики WooCommerce предусмотрели функцию, которая не позволяет пользователям с этой ролью вмешиваться в профили администраторов. Но из-за недостатка в работе системы управления привилегиями плагинов при отключении WooCommerce функция ограничения для «менеджеров магазина» перестаёт работать, и пользователи с этой ролью могут свободно изменять учётные записи других пользователей.
Следовательно, единственный надёжный способ отключить плагин — деактивировать его от имени администратора и удалить все его файлы. И здесь возникает вторая проблема.
Дело в том, что аналитики RIPS Technologies обнаружили ошибку, связанную с удалением файлов WooCommerce версии 3.4.5 и ниже. Оказалось, что пользователи с правами Shop Manager могут удалить любой файл плагина, в том числе те, которые необходимы для его работы. После этого плагин перестанет нормально работать, WordPress автоматически его отключит, и ситуация вернётся к описанной выше: пользователь с ролью менеджера магазина сможет изменять профили любого пользователя.
Исследователи поясняют, что в такой ситуации злоумышленнику не составит труда захватить учётную запись администратора и тем самым получить контроль над всем сайтом. Видео ниже демонстрирует сочетание двух проблем на практике.
Эксперты подчёркивают, что для успешного использования этой уязвимости злоумышленнику необходим доступ к учётной записи с ролью менеджера магазина. Однако, по словам исследователей, этого можно добиться с помощью XSS-уязвимостей или фишинговых атак.
Разработчики WooCommerce уже устранили проблему, выпустив новую версию плагина (3.4.6). Поскольку автоматическое обновление плагинов включено далеко не везде, эксперты советуют пользователям проверить наличие обновлений и убедиться, что они работают с последними версиями WooCommerce.
