È stato scoperto che il plug-in del gateway di pagamento WooCommerce Stripe presenta una vulnerabilità che consente a un utente malintenzionato di rubare informazioni di identificazione personale (PII) del cliente dai negozi che utilizzano il plug-in.
I ricercatori di sicurezza avvertono che gli hacker non hanno bisogno dell'autenticazione per portare a termine l'exploit, che ha ricevuto un punteggio alto, 7,5 su una scala da 1 a 10.
Plugin per il gateway di pagamento Stripe di WooCommerce
Il plug-in del gateway di pagamento Stripe, sviluppato da WooCommerce, Automattic, WooThemes e altri collaboratori, è installato in oltre 900.000 siti web.
Offre un modo semplice per i clienti dei negozi WooCommerce di effettuare il checkout, con un numero di carte di credito diverse e senza dover aprire un conto.
Un account Stripe viene creato automaticamente al momento del pagamento, offrendo ai clienti un'esperienza di acquisto e-commerce senza attriti.
Il plug-in funziona tramite un'interfaccia di programmazione dell'applicazione (API).
Un'API è come un ponte tra due software che consente al negozio WooCommerce di interagire con il software Stripe per elaborare gli ordini dal sito Web a Stripe senza problemi.
Qual è la vulnerabilità nel plug-in WooCommerce Stripe?
I ricercatori di sicurezza di Patchstack hanno scoperto la vulnerabilità e l'hanno divulgata responsabilmente alle parti interessate.
Secondo i ricercatori di sicurezza di Patchstack:
“Questo plugin soffre di una vulnerabilità IDOR (Unuthenticated Insecure Direct Object Reference).
Questa vulnerabilità consente a qualsiasi utente non autenticato di visualizzare i dati PII di qualsiasi ordine WooCommerce, inclusi e-mail, nome utente e indirizzo completo.
Versioni del plug-in WooCommerce Stripe interessate
La vulnerabilità interessa le versioni precedenti e uguali alla versione 7.4.0.
Gli sviluppatori associati al plug-in lo hanno aggiornato alla versione 7.4.1, che è la versione più sicura.
Questi erano gli aggiornamenti di sicurezza effettuati, secondo il log delle modifiche del plugin ufficiale:
- "Correzione: aggiungi la convalida della chiave dell'ordine.
- Correzione: aggiunta di sanificazione e fuga di alcuni output.
Ci sono un paio di problemi che necessitavano di una correzione.
Il primo sembra essere una mancanza di convalida, che in generale è un controllo per convalidare se una richiesta è da parte di un'entità autorizzata.
Il prossimo è la sanificazione, che si riferisce a un processo di blocco di qualsiasi input non valido. Ad esempio, se un input consente solo testo, dovrebbe essere impostato in modo da impedire il caricamento di script.
Ciò che menziona il registro delle modifiche è l'escape degli output, che è un modo per bloccare input indesiderati e dannosi.
L'organizzazione di sicurezza senza scopo di lucro, Open Worldwide Application Security Project (OWASP) lo spiega in questo modo:
"La codifica e la fuga sono tecniche difensive intese a fermare gli attacchi di iniezione."
Il manuale ufficiale dell'API di WordPress lo spiega in questo modo:
“L'escape dell'output è il processo di protezione dei dati di output rimuovendo i dati indesiderati, come HTML malformato o tag di script.
Questo processo aiuta a proteggere i tuoi dati prima di renderli per l'utente finale.
Si consiglia vivamente agli utenti del plug-in di aggiornare immediatamente i propri plug-in alla versione 7.4.1
Leggi l'avviso di sicurezza su Patchstack:
IDOR non autenticato alla divulgazione PII nel plug-in WooCommerce Stripe Gateway
Immagine in primo piano di Shutterstock/FedorAnisimov
