Vulnerabilidade IDOR não autorizada no Plugin WooCommerce

Vulnerabilidade IDOR não autorizada no Plugin WooCommerce

Uma vulnerabilidade crítica de segurança foi descoberta no popular plug-in WooCommerce Stripe Gateway, potencialmente expondo as informações de identificação pessoal (PII) dos usuários.

A vulnerabilidade, uma referência de objeto direto insegura não autenticada (IDOR), afeta as versões 7.4.0 e anteriores do plug-in, que possui mais de 900.000 instalações ativas.

“Este plug-in é um plug-in do WordPress que permite aceitar pagamentos diretamente em uma loja para web e dispositivos móveis”, escreveu o pesquisador de segurança Rafie Muhammad, da Patchstack, em um comunicado publicado na terça-feira.

“Com o plug-in, os clientes podem permanecer na loja durante o checkout, em vez de serem redirecionados para uma página de checkout hospedada externamente.”

Muhammad acrescentou que a falha pode permitir que usuários não autenticados acessem as informações do usuário associadas aos pedidos do WooCommerce.

“Esta vulnerabilidade permite que qualquer usuário não autenticado visualize os dados PII de qualquer pedido WooCommnerce, incluindo e-mail, nome do usuário e endereço completo.”

Do ponto de vista técnico, a vulnerabilidade decorre da validação inadequada da propriedade do pedido e pode ser explorada pela manipulação de parâmetros de consulta. Aproveitando essa falha, os invasores podem extrair dados PII ignorando os controles de autenticação.

No comunicado do Patchstack, Muhammad disse que a empresa de segurança encontrou e divulgou a falha ao WooCommerce em 17 de abril de 2023.

O fornecedor do plug-in lançou um patch para resolver a vulnerabilidade em 30 de maio. WooCommerce Stripe Gateway versão 7.4.1 ou versões posteriores devem ser instaladas imediatamente para mitigar o risco.

“Se você é um usuário do WooCommerce Stripe Gateway, atualize o plug-in para pelo menos a versão 7.4.1”, disse Muhammad.

Apesar dos patches, o pesquisador de segurança alertou os proprietários e desenvolvedores de sites que usam o plug-in WooCommerce Stripe Gateway para permanecerem vigilantes e sempre verificar o controle de acesso em torno dos objetos do pedido, verificando a chave e a propriedade do pedido.

Os patches do WooCommerce chegam alguns meses depois que a empresa por trás do popular plugin WordPress Elementor atualizou seu produto para corrigir uma vulnerabilidade crítica que poderia ser explorada para alterar a aparência dos sites.