RIPS Technologies обнаружила проблему в WordPress і плагіні електронної комерції WooCommerce, створеному компанією Automattic. За офіційною статистикою, цей плагін був завантажений понад чотири мільйони разів і має приблизно таку саму кількість активних установок.
Дослідники пояснюють, що тут існує дві проблеми. Перша проблема полягає в тому, що після встановлення плагіна в WordPress, який використовує різні ролі для користувачів, він не створює власної системи автентифікації, а використовує наявну систему привілеїв CMS. Для цього плагін створює нову роль із новими можливостями WordPress, а потім обмежує її взаємодію з налаштуваннями CMS та іншими користувачами за допомогою власних функцій.
Таким чином, під час встановлення WooCommerce створюється нова роль для Shop Manager («керівник магазину»), яка має права edit_users. Цей дозвіл дозволяє користувачеві змінювати публікації, а також профілі будь-якого іншого користувача WordPress, включно з адміністратором.
Схоже, розробники WooCommerce передбачили функцію, яка не дозволяє користувачам із цією роллю втручатися в профілі адміністраторів. Але через недолік у роботі системи керування привілеями плагінів, коли WooCommerce деактивовано, функція обмеження для «керівників магазину» перестає працювати, і користувачі з цією роллю можуть вільно змінювати облікові записи інших користувачів.
Отже, єдиний надійний спосіб деактивувати плагін — це вимкнути його адміністратору та видалити всі його файли. І ось друга проблема.
Справа в тому, що аналітики RIPS Technologies виявили помилку, пов’язану з видаленням файлів WooCommerce у версії 3.4.5 та нижчих. Виявилося, що користувачі з правами Shop Manager можуть видалити будь-який файл плагіна, зокрема ті, що є критично важливими для його роботи. Після цього плагін перестане працювати передбачувано, WordPress деактивує його автоматично, і ситуація повернеться до попередньої, коли користувач з роллю керівника магазину може змінювати профілі будь-якого користувача.
Дослідники пояснюють, що в такій ситуації зловмиснику не буде складно захопити обліковий запис адміністратора, а отже, і контролювати весь сайт. Відео нижче ілюструє поєднання двох проблем цієї справи.
Експерти наголошують, що для успішного використання цієї схеми зловмиснику потрібен доступ до облікового запису з роллю керівника магазину. Втім, за словами дослідників, це можливо завдяки вразливостям XSS або фішинговим атакам.
Розробники WooCommerce вже усунули проблему, випустивши нову версію плагіна (3.4.6). Оскільки автоматичне оновлення плагінів взагалі не передбачене, експерти рекомендують користувачам самостійно перевіряти наявність оновлень і переконатися, що вони працюють з останніми версіями WooCommerce.
