Лични данниУязивмости, експлойти, ъпдейти

Ъпдейтнете Abandoned Cart за WooCommerce сега

Уязвимост в по-стара версия на плъгина Abandoned Cart Lite и Pro позволява кражба на администраторски акаунт на засегнатите сайтове

Уязвимост в безплатната и платена версия на плъгина за WooCommerce Abandoned Cart позволява кражбата на администраторски акаунти в сайтовете, които го използват, съобщават от производителя му Tyche Softwares. Разкритата в средата на февруари пробойна е отстранена и препоръчваме на потребителите му да ъпдейтнат до най-новата версия. Към момента 42% от ползвателите са го направили, коментират от Tyche Softwares.

По данни на ZDNet с безплатната версия на плъгина работят около 20 000 сайта.

Как работи уязвимостта

Засегнатите плъгини се казват Abandoned Cart Lite (безплатна версия) и Abandoned Cart Pro (платена версия).

Според официалната информация от компанията, уязвимостта позволява на атакуващия да създаде нов потребител с име woouser и имейл в услугата Mailinator (конкретният адрес е [email protected]), който има администраторски права в засегнатия сайт.  Проблемът е открит от потребителка, която е съдействала и за отстраняването му. Подробна техническа информация за самата уязвимост не е предоставена публично от авторите на плъгина с уточнението, че те не искат да разкриват как се осъществяват такива зловредни действия.

Публикации в други медии твърдят, че пробойната в плъгините се дължи на cross-site scripting (XSS) уязвимости. Добавката за WooCommerce (която е и сред най-популярните платформи за електронна търговия в България) позволява на администраторите на сайтовете да следят кои потребители са започнали да пазаруват, но не са завършили поръчките си. Търговците виждат списък с потребители и добавените от тях в кошницата продукти.

Според Defiant security хакерите използват полетата в количката на магазина, за да добавят зловреден код в базата данни на сайта. В последствие, когато администраторът влезе, за да провери списъка с незавършени поръчки и стигне до компрометираната такава, кодът се изпълнява и дава администраторски права на хакерите и опитва да инсталира два бекдора.

Първият работи с цел да създаде горе описания администраторски акаунт.

Вторият създава списък с използваните от платформата WordPress плъгини на сайта, проследява кой е първият деактивиран от тях и подменят съдържанието му, без да го активират. Новият, заразен „плъгин“ позволява отдалечен достъп до сайта.

Какво да направите

  1. Проверете списъка си с потребители и потърсете потребителското име Ако има такова, то най-вероятно сайтът ви е компрометиран. Ако имате плъгинг, с който записвате и следите потребителската активност в WordPress, проверете дали с този акаунт са осъществени логини и каква е била дейността му
  2. Ъпдейтнете плъгина си до най-новата версия, за да елиминирате пробойната
Покажи още

41 коментара

  1. I am also writing to let you be aware of of the excellent experience our daughter obtained checking your web page. She even learned several issues, which include what it is like to have a very effective coaching heart to let folks clearly comprehend a variety of grueling topics. You truly exceeded my expectations. Thanks for coming up with such priceless, dependable, educational and unique tips on your topic to Tanya.

  2. Thanks so much for giving everyone a very splendid opportunity to read critical reviews from this blog. It’s usually very superb and as well , stuffed with a lot of fun for me and my office colleagues to visit your site more than thrice weekly to read the latest tips you have got. And lastly, I’m usually satisfied for the unbelievable principles you serve. Some 2 areas in this post are honestly the finest I have had.

  3. I not to mention my guys have already been reviewing the great procedures found on the blog and so the sudden got a terrible feeling I had not expressed respect to the web site owner for those strategies. All the men became totally warmed to see them and have now actually been making the most of those things. We appreciate you getting well helpful and for obtaining these kinds of useful useful guides most people are really eager to be informed on. Our honest regret for not saying thanks to you earlier.

  4. I intended to put you a little remark in order to give many thanks as before on your remarkable advice you’ve contributed on this site. It is remarkably open-handed with you to offer freely what exactly many individuals might have made available as an electronic book in making some money on their own, primarily now that you could have done it if you ever considered necessary. The basics in addition served to provide a easy way to be aware that other people have the same desire much like mine to find out a little more in respect of this issue. I believe there are some more pleasurable situations up front for individuals that browse through your blog post.

  5. I have to show thanks to you just for rescuing me from this particular challenge. After looking out through the the net and coming across things which were not productive, I believed my life was gone. Existing without the answers to the problems you have sorted out through your good blog post is a serious case, as well as those which might have negatively affected my career if I had not come across your site. Your good capability and kindness in touching all the pieces was priceless. I am not sure what I would’ve done if I had not come across such a subject like this. I’m able to now look ahead to my future. Thanks a lot very much for the professional and amazing help. I won’t think twice to recommend your web page to anybody who should get direction on this area.

Вашият коментар

Вашият имейл адрес няма да бъде публикуван.

Back to top button