Podatności Craft Commerce

Craft Commerce to platforma e-commerce dla Craft CMS. Od wersji 4.0.0 do 4.11.2 oraz 5.6.5, CartController w src/controllers/CartController.php aktywuje RateLimiter tylko wtedy, gdy podany jest parametr POST lub GET 'number'. Nieuwierzytelniony atakujący może wysyłać wartości couponCode do actionUpdateCart dla koszyka opartego na sesji, pomijając 'number', co uniemożliwia utworzenie tożsamości ograniczenia IP i pozwala na nieograniczone automatyczne zgadywanie i enumerację kodów kuponów. Problem naprawiono w wersjach 4.11.2 i 5.6.5.

Podatność SQL injection w Craft Commerce (wersje 5.0.0-5.5.4) występuje w właściwościach ProductQuery::hasVariant i VariantQuery::hasProduct, które omijają blokadę sanityzacji. Uwierzytelniony użytkownik panelu administracyjnego może wykorzystać ślepą iniekcję SQL do wyodrębnienia danych, w tym kluczy bezpieczeństwa, co umożliwia fałszowanie sesji administratora.

Craft Commerce w wersjach 4.0.0–4.10.2 i 5.0.0–5.5.4 zawiera podatność na wstrzyknięcie SQL w widgecie TotalRevenue, która pozwala każdemu uwierzytelnionemu użytkownikowi panelu sterowania na zdalne wykonanie kodu poprzez czteroetapowy łańcuch exploitacji. Atak wykorzystuje nieoczyszczone ustawienia widgetu interpolowane do wyrażeń SQL oraz domyślne wsparcie PDO dla zapytań wieloinstrukcjnych, aby wstrzyknąć złośliwy serializowany obiekt PHP do tabeli kolejki, co prowadzi do zapisu webshella PHP w katalogu webroot serwera.

Craft Commerce w wersjach 4.0.0–4.10.2 i 5.0.0–5.5.4 ujawnia dane zamówienia nieuwierzytelnionym użytkownikom, gdy podany numer zamówienia i sprawdzenie e-mail nie powiedzie się podczas anonimowej płatności. Odpowiedź błędu JSON zawiera zserializowany obiekt zamówienia z wrażliwymi polami, takimi jak e-mail klienta oraz adresy wysyłki i rozliczeniowy. Naprawiono w wersjach 4.11.0 i 5.6.0.