Exploração do plug-in WooCommerce WordPress permite cobranças fraudulentas

O popular plugin WooCommerce Square para vulnerabilidade do WordPress permite que invasores não autenticados descubram cartões de crédito registrados e façam cobranças fraudulentas. A vulnerabilidade afeta até 80.000 instalações.

Plug-in WooCommerce Square para WordPress

O plugin WooCommerce Square permite que sites WordPress aceitem pagamentos através do Square POS, bem como sincronizem dados de inventário de produtos entre Square e WooCommerce. O plug-in Square permite que um comerciante WooCommerce ofereça suporte a pagamentos por meio de Apple Pay®, Google Pay, pré-encomendas WooCommerce e assinaturas WooCommerce.

Referência de objeto direto inseguro

A vulnerabilidade no plug-in surge de uma vulnerabilidade Insecure Direct Object Reference (IDOR), uma falha que ocorre quando dados críticos são expostos em parâmetros de arquivo URL, como números de identificação, o que permite que um invasor manipule esses dados sem o acesso adequado que normalmente os impediria de acessar esses arquivos.

O Open Worldwide Application Security Project (OWASP) define IDOR como:

“Insecure Direct Object Reference (IDOR) é uma vulnerabilidade que surge quando invasores podem acessar ou modificar objetos manipulando identificadores usados ​​em URLs ou parâmetros de uma aplicação web. Isso ocorre devido à falta de verificações de controle de acesso, que não conseguem verificar se um usuário deve ter permissão para acessar dados específicos.”

A exploração da vulnerabilidade não exige que o invasor adquira qualquer nível de autenticação ou permissão, tornando mais fácil para ele lançar um ataque aos sites afetados.

De acordo com um comunicado do Wordfence:

“O plug-in WooCommerce Square para WordPress é vulnerável à referência direta de objeto inseguro em todas as versões até 5.1.1, inclusive, por meio da função get_token_by_id devido à falta de validação em uma chave controlada pelo usuário. Isso torna possível que invasores não autenticados exponham valores arbitrários do Square “ccof” (cartão de crédito em arquivo) e aproveitem esse valor para fazer cobranças potencialmente fraudulentas no site de destino. “

Existem várias versões do plug-in WooCommerce Square corrigidas. É recomendado que os usuários do plug-in atualizem para pelo menos uma das seguintes versões:

• 4.2.3
• 4.3.2
• 4.4.2
• 4.5.2
• 4.6.4
• 4.7.4
• 4.8.8
• 4.9.9
• 5.0.1
• 5.1.2

A pontuação de vulnerabilidade de gravidade do CVSS é avaliada em 7,5, indicando que é uma vulnerabilidade perigosa que pode ser explorada remotamente, mas é mitigada por uma restrição que a impede de ser classificada como “Crítica”.

Imagem em destaque por Shutterstock/IgorZh