CVE-2021-42367 ist eine Sicherheitslücke im WordPress-Plugin „Variation Swatches for WooCommerce“.. Das Plugin, die als WooCommerce-Erweiterung funktioniert, hat mehr als 80,000 aktive Installationen.
CVE-2021-42367 Sicherheitslücke in Variationsmustern für das WooCommerce-Plugin
Die Sicherheitsanfälligkeit könnte es einem Angreifer mit geringen Berechtigungen ermöglichen, bösartigen JavaScript-Code einzuschleusen, der ausgeführt wird, wenn ein Site-Administrator auf die Einstellungen des Plugins zugreift, wie von Wordfence-Forschern erklärt.
Die Forscher haben den Entwicklern des Plugins das Problem im November verantwortungsbewusst mitgeteilt 12, 2021. Ein Patch wurde anschließend im November veröffentlicht 23. Es wird dringend empfohlen, dass alle Variation Swatches für WooCommerce-Plugin-Benutzer die neueste Version installieren 2.1.2.
Wofür ist das Variation Swatches für WooCommerce-Plugin entwickelt worden?? Sein Zweck ist das Hinzufügen von Variationsmustern zu Produkten, die mit WooCommerce erstellt wurden, Auf diese Weise können Showbesitzer mehrere Varianten desselben Produkts verkaufen. Um richtig zu funktionieren, das Plugin hat verschiedene AJAX-Aktionen registriert, die zum Verwalten der Einstellungen erforderlich sind. Jedoch, sie wurden nicht sicher umgesetzt, Bedrohungsakteuren mit geringen Berechtigungen erlauben, die Einstellungen des Plugins zu aktualisieren und bösartigen Code auszuführen.
"Genauer, das Plugin hat die tawcvs_save_settings registriert, update_attribute_type_setting, und update_product_attr_type-Funktionen, die alle von verschiedenen AJAX-Aktionen abhängig waren. Diese drei Funktionen waren alle fehlende Fähigkeitsprüfungen sowie Nonce-Prüfungen, die Schutz vor Cross-Site Request Forgery bieten,” Wordfence sagte.
Mit anderen Worten, alle authentifizierten, Low-Level-Benutzer könnten die mit den Funktionen verbundenen AJAX-Aktionen ausführen.
„AJAX-Aktionen wurden verwendet, um die verschiedenen Einstellungen der Plugins zu steuern, und insbesondere die Funktion tawcvs_save_settings könnte verwendet werden, um die Einstellungen des Plugins zu aktualisieren, um bösartige Webskripte hinzuzufügen, was das Problem noch viel schwerwiegender macht," der Bericht hinzugefügt.
Was könnten die Folgen eines Angriffs basierend auf CVE-2021-42367 sein?? Schädliche Web-Scrips können auf verschiedene Weise ausgenutzt werden, einschließlich der Änderung eines Plugins oder einer Designdatei, um eine Hintertür hinzuzufügen. Eine Hintertür könnte einem Angreifer die Möglichkeit geben, einen Website-Takeover-Angriff durchzuführen.
Im September 2021, Wordfence Forscher zwei Schwachstellen gemeldet in der Gutenberg Template Library & Redux Framework-Plugin für WordPress, CVE-2021-38312 und CVE-2021-38314. Die erste Schwachstelle könnte Benutzer mit geringeren Berechtigungen ermöglichen, wie Mitwirkende, um beliebige Plugins zu installieren und zu aktivieren und jeden Beitrag oder jede Seite über die REST API zu löschen.
Die zweite Schwachstelle könnte es nicht authentifizierten Angreifern ermöglichen, auf potenziell vertrauliche Informationen zur Konfiguration einer Site zuzugreifen. Die Bewertung des Fehlers ist 5.3 auf der Skala CVSS-.
Milena Dimitrova
Ein begeisterter Autor und Content Manager, der seit Projektbeginn bei SensorsTechForum ist. Ein Profi mit 10+ jahrelange Erfahrung in der Erstellung ansprechender Inhalte. Konzentriert sich auf die Privatsphäre der Nutzer und Malware-Entwicklung, sie die feste Überzeugung, in einer Welt, in der Cybersicherheit eine zentrale Rolle spielt. Wenn der gesunde Menschenverstand macht keinen Sinn, sie wird es sich Notizen zu machen. Diese Noten drehen können später in Artikel! Folgen Sie Milena @Milenyim
Folge mir: