V pluginu WebToffee WooCommerce PDF Invoices, který slouží ke generování faktur, dodacích listů a dalších objednávkových dokumentů, byla identifikována vysoce závažná zranitelnost umožňující nepřihlášenému útočníkovi získat přístup k dokumentům objednávek jiných zákazníků.
Plugin je podle Wordfence aktivní přibližně na 50 000 WordPress instalacích.
Zranitelnost představuje významné riziko zejména pro e-shopy zpracovávající osobní údaje zákazníků.
Mechanismus zneužití
Zranitelnost se nachází v mechanismu print_document_from_the_mail_link, který umožňuje zpřístupnit objednávkové dokumenty prostřednictvím odkazu.
Tento mechanismus je vyvoláván funkcí print_window() při zpracování požadavků WordPressu.
Příčinou je nedostatečné ověřování oprávnění k přístupu k dokumentům objednávky.
Plugin při kontrole přístupu porovnává e-mailovou adresu předanou parametrem email s fakturační e-mailovou adresou objednávky.
Tato hodnota je předávána v podobě zakódované pomocí Base64.
Problém spočívá v tom, že e-mailová adresa není tajným autentizačním údajem.
Útočník, který zná identifikátor objednávky a odpovídající fakturační e-mailovou adresu, tak může získat přístup k dokumentům jiného zákazníka.
Správné zabezpečení by mělo vyžadovat ověření odpovídajícího objednávkového klíče WooCommerce (order_key).
Podmínky zneužití
Pro úspěšné zneužití musí být splněny následující podmínky:
- E-shop používá postiženou verzi pluginu.
- V konfiguraci pluginu je povolen přístup hostů k objednávkovým dokumentům.
- Nastavení
wt_pklist_print_button_access_for není omezeno pouze na přihlášené uživatele.
- Útočník zná identifikátor cílové objednávky a odpovídající fakturační e-mailovou adresu.
Pokud jsou tyto podmínky splněny, může útočník získat dokumenty bez přihlášení.
Možné následky
Úspěšné zneužití může umožnit neoprávněný přístup k:
- Fakturám zákazníků.
- Dodacím listům.
- Přepravním štítkům.
- Fakturačním a doručovacím adresám.
- Telefonním číslům zákazníků.
- Informacím o zakoupených produktech.
- Cenám, daním a dalším údajům objednávek.
Zranitelnost může představovat také riziko z pohledu ochrany osobních údajů a GDPR.
Samotná existence zranitelnosti však automaticky neznamená, že došlo k úniku osobních údajů. Rozhodující je případné skutečné zneužití a rozsah zpřístupněných informací.
Wordfence hodnotí zranitelnost CVSS 7.5/10.
Aktivní zneužívání v reálných útocích nebylo k okamžiku kontroly potvrzeno.
Doporučené kroky
- Bezodkladně aktualizovat WebToffee WooCommerce PDF Invoices minimálně na verzi 5.0.3, ideálně na nejnovější dostupnou verzi.
- U e-shopů, které provozovaly postižené verze, doporučujeme prověřit nastavení přístupu k objednávkovým dokumentům.
- Zkontrolovat hodnotu
wt_pklist_print_button_access_for a ověřit, zda byl povolen přístup nepřihlášeným návštěvníkům.
- Prověřit serverové logy a vyhledat neobvyklé požadavky související s funkcí
print_document_from_the_mail_link.
- Zkontrolovat případné hromadné stahování faktur nebo neobvyklé množství požadavků na objednávkové dokumenty.
- Pokud aktualizace není okamžitě možná, doporučujeme dočasně omezit přístup k dokumentům pouze na přihlášené uživatele.
- Při podezření na neoprávněné zpřístupnění osobních údajů doporučujeme provést bezpečnostní analýzu a posoudit případné povinnosti podle GDPR.
Důležité: Aktualizace pluginu zabrání dalšímu zneužití opravené zranitelnosti, ale neodstraní případné kopie zákaznických dokumentů získané před instalací bezpečnostní opravy.
Zdroj: https://www.wordfence.com/threat-intel/vulnerabilities/wordpress-plugins/print-invoices-packing-slip-labels-for-woocommerce/webtoffee-woocommerce-pdf-invoices-packing-slips-delivery-notes-shipping-labels-502-insecure-direct-object-reference-to-unauthenticated-unauthorized-order-document-access-via-email-parameter
