CVE-2023-3162 trong plugin thanh toán trên WooCommerce cho phép vượt qua xác thực

[WhiteHat News #ID:2018]

Một lỗ hổng nghiêm trọng vừa được phát hiện trong plugin thanh toán Stripe Payment trên trang web thương mại điện tử sử dụng tiện ích WooCommerce cho phép kẻ tấn công chưa xác thực truy cập với vai trò người dùng bất kỳ từng đặt hàng trên web.

​

Lỗ hổng có mã định danh là CVE-2023-3162, điểm CVSS 9,8.

Stripe Payment được hiểu là một plugin được tích hợp vào WooCommerce (một plugin khác chuyên dành cho các web bán hàng trên nền tảng WordPress), cho phép doanh nghiệp chấp nhận nhiều phương thức thanh toán từ các thẻ ghi nợ, ghi có như Mastercard, Visa, American Express, Discover, JCB và Diners Club đến các giải pháp thay thế hiện đại như Alipay, Apple Pay, Google Pay, SEPA, Klarna, Afterpay/Clearpay, Sofort, iDEAL và WeChat Pay – tất cả các giao dịch đều được xử lý qua công thanh toán bảo mật Stripe Payment Gateway.

Theo thống kê, Stripe Payment Gateway có trên 10.000 lượt cài đặt.

Lỗ hổng xảy ra do cách plugin này xử lý việc xác thực người dùng trong suốt quá trình thanh toán qua Stripe. Nó không xác thực đúng danh tính người dùng, cho phép kẻ tấn công qua mặt việc xác thực và truy cập bằng tài khoản người dùng bất kỳ đã thực hiện đặt đơn hàng.

Nếu kẻ tấn công có thể khai thác lỗ hổng này, chúng có thể dành quyền truy cập vào bất kỳ tài khoản nào để xem thông tin nhạy cảm như số thẻ tín dụng, lịch sử đơn hàng và thông tin cá nhân chi tiết.

Ngoài ra, kẻ tấn công có thể lợi dụng tài khoản người dùng để thực hiện mua hàng trái phép hoặc truy cập vào các vùng nhạy cảm khác trên website.

Để tránh những rủi ro từ lỗ hổng này, người dùng nên:

• Nâng cấp lên phiên bản mới nhất của plugin Stripe Payment dành cho WooCommerce (3.7.8 hoặc cao hơn).
• Nếu không thể nâng cấp, hãy vô hiệu hóa plugin cho đến khi có thể thực hiện việc này.
• Giám sát các trang web chặt chẽ để đề phòng các hành vi xâm nhập trái phép.

Theo Security Online​