Os analistas de segurança da Patchstack descobriram que um plugin de pagamento para WordPress vaza detalhes de compras por causa de um bug.
O WooCommerce Stripe Payment é um gateway de pagamento para sites de comércio eletrônico WordPress, que atualmente possui 900.000 instalações ativas.
Ele permite que os sites aceitem métodos de pagamento como Visa, MasterCard, American Express, Apple Pay e Google Pay por meio da API de processamento de pagamentos do Stripe.
Agora, esse plug-in do WordPress foi considerado vulnerável a um bug que permite que qualquer usuário não autenticado visualize os detalhes do pedido feito por meio do plug-in.
Plugin de pagamento para WordPress vaza detalhes de compras
Sim. O Plugin de pagamento para WordPress vaza detalhes de compras. Os analistas de segurança da Patchstack descobriram que o popular plug-in é vulnerável ao CVE-2023-34000, uma falha de referência de objeto direto inseguro (IDOR) não autenticada que pode expor detalhes confidenciais aos invasores.
A vulnerabilidade pode permitir que usuários não autenticados visualizem os dados da página de checkout, incluindo PII (informações de identificação pessoal), endereços de e-mail, endereços de entrega e o nome completo do usuário.
A exposição dos dados acima é considerada grave e pode levar a ataques adicionais, como tentativas de sequestro de contas e roubo de credenciais por meio de e-mails de phishing direcionados.
A falha se origina do manuseio inseguro de objetos de pedido e da falta de medidas de controle de acesso adequadas nas funções ‘javascript_params’ e ‘payment_fields’ do plug-in.
Esses erros de código permitem abusar das funções para exibir os detalhes do pedido de qualquer WooCommerce sem verificar as permissões da solicitação ou a propriedade do pedido (correspondência de usuário).
A falha afeta todas as versões do WooCommerce Stripe Gateway abaixo de 7.4.1, que é a versão para a qual os usuários são recomendados para atualizar.
O Patchstack descobriu e relatou o CVE-2023-34000 ao fornecedor do plug-in em 17 de abril de 2023, e um patch com a versão 7.4.1 foi lançado em 30 de maio de 2023.
De acordo com as estatísticas do WordPress.org, mais da metade das instalações ativas do plug-in atualmente usam uma versão vulnerável, o que se traduz em uma grande superfície de ataque, destinada a chamar a atenção dos cibercriminosos.
Houve vários casos de hackers atacando plugins WordPress vulneráveis nos últimos meses, como Elementor Pro, Advanced Custom Fields, Essential Addons for Elementor e Beautiful Cookie Consent Banner, só para citar alguns.
Os administradores do site WordPress devem manter todos os seus plug-ins atualizados, desativar aqueles que não são necessários/usados e monitorar seus sites quanto a atividades suspeitas, como modificação de arquivos, alteração de configurações ou criação de novas contas de administrador.