Es wurde festgestellt, dass das Zahlungs-Gateway-Plugin WooCommerce Stripe eine Schwachstelle aufweist, die es einem Angreifer ermöglicht, mithilfe des Plugins personenbezogene Daten (PII) von Kunden aus Geschäften zu stehlen.
Sicherheitsforscher warnen, dass Hacker keine Authentifizierung benötigen, um den Exploit auszuführen, der auf einer Skala von 1 bis 10 mit 7,5 hoch bewertet wurde.
WooCommerce Stripe Payment Gateway-Plugin
Das von WooCommerce, Automattic, WooThemes und anderen Mitwirkenden entwickelte Stripe-Zahlungsgateway-Plugin ist auf über 900.000 Websites installiert.
Es bietet Kunden in WooCommerce-Shops eine einfache Möglichkeit, mit verschiedenen Kreditkarten zur Kasse zu gehen, ohne ein Konto eröffnen zu müssen.
Beim Bezahlvorgang wird automatisch ein Stripe-Konto erstellt, das Kunden ein reibungsloses E-Commerce-Einkaufserlebnis bietet.
Das Plugin funktioniert über eine Anwendungsprogrammierschnittstelle (API).
Eine API ist wie eine Brücke zwischen zwei Softwareprogrammen, die es dem WooCommerce-Shop ermöglicht, mit der Stripe-Software zu interagieren, um Bestellungen von der Website nahtlos an Stripe weiterzuleiten.
Was ist die Sicherheitslücke im WooCommerce Stripe Plugin?
Die Sicherheitsforscher von Patchstack haben die Schwachstelle entdeckt und sie verantwortungsbewusst den relevanten Parteien mitgeteilt.
Laut Sicherheitsforschern von Patchstack:
„Dieses Plugin leidet unter einer Unauthenticated Insecure Direct Object Reference (IDOR)-Schwachstelle.
Diese Schwachstelle ermöglicht es jedem nicht authentifizierten Benutzer, die PII-Daten jeder WooCommerce-Bestellung einzusehen, einschließlich E-Mail, Benutzername und vollständige Adresse.“
Betroffene Versionen des WooCommerce Stripe-Plugins
Die Schwachstelle betrifft Versionen vor und gleich Version 7.4.0.
Die mit dem Plugin verbundenen Entwickler haben es auf Version 7.4.1 aktualisiert, die sicherste Version.
Laut dem offiziellen Plugin-Änderungsprotokoll waren dies die vorgenommenen Sicherheitsupdates:
- „Fix – Bestellschlüsselvalidierung hinzufügen.“
- Fix – Bereinigung und Escape einiger Ausgaben hinzufügen.“
Es gibt ein paar Probleme, die behoben werden mussten.
Das erste scheint ein Mangel an Validierung zu sein, bei der es sich im Allgemeinen um eine Überprüfung handelt, um zu überprüfen, ob eine Anfrage von einer autorisierten Stelle stammt.
Der nächste Schritt ist die Bereinigung, die sich auf einen Prozess bezieht, bei dem alle ungültigen Eingaben blockiert werden. Wenn eine Eingabe beispielsweise nur Text zulässt, sollte sie so eingerichtet werden, dass das Hochladen von Skripten verhindert wird.
Was im Änderungsprotokoll erwähnt wird, ist das Escapen von Ausgaben, was eine Möglichkeit darstellt, unerwünschte und böswillige Eingaben zu blockieren.
Die gemeinnützige Sicherheitsorganisation Open Worldwide Application Security Project (OWASP) erklärt es so:
„Codierung und Escape sind Abwehrtechniken, die Injektionsangriffe stoppen sollen.“
Das offizielle WordPress-API-Handbuch erklärt es so:
„Beim Escape-Output handelt es sich um den Prozess, Ausgabedaten zu sichern, indem unerwünschte Daten wie fehlerhafte HTML- oder Skript-Tags entfernt werden.
Dieser Prozess trägt dazu bei, Ihre Daten zu schützen, bevor sie für den Endbenutzer bereitgestellt werden.“
Benutzern des Plugins wird dringend empfohlen, ihre Plugins sofort auf Version 7.4.1 zu aktualisieren
Lesen Sie den Sicherheitshinweis bei Patchstack:
Nicht authentifizierte IDOR-zu-PII-Offenlegung im WooCommerce Stripe Gateway Plugin
Ausgewähltes Bild von Shutterstock/FedorAnisimov