Podatności Welcart e-Commerce

Podatność Reflected Cross-Site Scripting (XSS) w wtyczce Welcart e-Commerce usc-e-shop dla WordPressa, występująca w wersjach do 2.12.3 włącznie, pozwala atakującemu na wstrzyknięcie złośliwego skryptu do strony.

Wtyczka Welcart e-Commerce dla WordPressa jest podatna na Insecure Direct Object Reference (IDOR) w wersjach do 2.12.5 włącznie, poprzez parametr 'member[ID]'. Brak walidacji klucza kontrolowanego przez użytkownika pozwala nieuwierzytelnionemu atakującemu nadpisać adres e-mail i hasło dowolnego konta członka sklepu Welcart, a następnie przejąć to konto.

Wtyczka Welcart e-Commerce dla WordPressa w wersjach do 2.12.4 włącznie jest podatna na wstrzyknięcie SQL poprzez parametr 'wp_usces_order_old (pola JSON searchSql / searchSkuSql)' z powodu niewystarczającego escapowania danych wejściowych i braku odpowiedniego przygotowania zapytania SQL. Uwierzytelniony atakujący z uprawnieniami edytora lub wyższymi może dołączyć dodatkowe zapytania SQL do istniejących zapytań, co pozwala na wyodrębnienie poufnych informacji z bazy danych.

Wtyczka Welcart e-Commerce dla WordPressa jest podatna na przechowywane ataki XSS przez parametry powiadomień o rozliczeniach w wersjach do 2.12.2 włącznie. Nieuwierzytelnieni atakujący mogą wstrzykiwać dowolne skrypty internetowe, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Punkt końcowy IPN akceptuje parametry 'rel' i 'option' bez uwierzytelnienia, walidacji nonce ani weryfikacji podpisu.

Wtyczka Welcart e-Commerce dla WordPressa jest podatna na wstrzykiwanie obiektów PHP we wszystkich wersjach do 2.12.1 włącznie poprzez deserializację niezaufanych danych wejściowych w wywołaniu zwrotnym płatności Telecom EDY (usces_action_acting_transaction). Nieuwierzytelnieni atakujący mogą przechowywać dowolne pary klucz/wartość 'reserve' jako metadane zamówienia podczas publicznej realizacji transakcji, a następnie wywołać wywołanie zwrotne z wybranym przez atakującego parametrem 'option', aby wybrać i zdeserializować te metadane bez żadnej weryfikacji podpisu dostawcy, adresu źródłowego, tożsamości transakcji ani własności. Łańcuch POP jest obecny w bibliotece TCPDF dołączonej do samej wtyczki, więc nie jest wymagana żadna dodatkowa wtyczka ani motyw. Umożliwia to nieuwierzytelnionym atakującym usunięcie dowolnych plików na serwerze, w tym wp-config.php, co może prowadzić do zdalnego wykonania kodu, gdy atakujący ponownie uruchomi instalator WordPressa przeciwko bazie danych, którą kontroluje. Skuteczne wykorzystanie jest uzależnione od wydrukowania faktury przez administratora w celu wyzwolenia usunięcia pliku.

Wtyczka Welcart e-Commerce dla WordPressa jest podatna na Stored Cross-Site Scripting przez parametr 'custom_order' we wszystkich wersjach do 2.12.1 włącznie, z powodu niewystarczającej sanityzacji wejścia i braku escapowania wyjścia. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów na strony, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Wstrzyknięty payload jest dostarczany przez formularz zamówienia gościa, nie wymaga uwierzytelnienia, a wykonuje się, gdy administrator przegląda dotknięte zamówienie w panelu administracyjnym WordPressa.

Wtyczka Welcart e-Commerce dla WordPressa przed wersją 2.12.1 nie regeneruje identyfikatora sesji podczas uwierzytelniania i ustawia identyfikator sesji z parametru żądania dostarczonego przez użytkownika, co pozwala nieuwierzytelnionemu atakującemu na fiksację sesji członka sklepu i przejęcie jego konta klienta po zalogowaniu ofiary przez spreparowane żądanie.

Nieuwierzytelniony atak typu Cross Site Scripting (XSS) w wtyczce Welcart e-Commerce w wersjach do 2.11.31. Atakujący może wstrzyknąć złośliwy skrypt bez logowania.

Wtyczka Welcart e-Commerce dla WordPressa przed wersją 2.11.33 nie weryfikuje autentyczności swojego callbacku rozliczeń dla sklepów convenience / przelewów bankowych: nieuwierzytelnione żądanie może zmienić zamówienie z nieopłaconego na rozliczone wyłącznie na podstawie numeru zamówienia i flagi statusu, bez sprawdzania podpisu, kwoty ani pochodzenia. Ponieważ są to metody płatności późniejszej, atakujący może oznaczyć swoje nieopłacone zamówienie jako rozliczone i otrzymać realizację bez płacenia.

Wtyczka Welcart e-Commerce przed wersją 2.11.34 nie sanityzuje ani nie escapuje pola produktu przed wyświetleniem go na stronach produktów, co pozwala użytkownikom z rolą Autora i wyższym na wstrzykiwanie dowolnych skryptów, które wykonują się w przeglądarce każdego odwiedzającego stronę produktu.

W Welcart e-Commerce w wersjach do 2.11.28 występuje problem z nieautoryzowanym dostępem, który może prowadzić do naruszenia kontroli dostępu.

Wtyczka Welcart e-Commerce dla WordPressa jest podatna na nieautoryzowany dostęp do danych z powodu braku sprawdzenia uprawnień w akcji 'usces_export' we wszystkich wersjach do 2.11.24 włącznie. Umożliwia to nieuwierzytelnionym atakującym dostęp do skonfigurowanych danych uwierzytelniających płatności (np. PayPal API secret), a także danych kontaktowych firmy, szablonów wiadomości i innych ustawień operacyjnych sklepu.

Wtyczka Welcart e-Commerce (usc-e-shop) ma brak autoryzacji, co pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Podatność dotyczy wersji do 2.11.24 włącznie.

Wtyczka WordPress Welcart e-Commerce (wersje do 2.11.22) jest podatna na przechowywany cross-site scripting (XSS) poprzez ustawienie 'order_mail', z powodu niewystarczającej sanityzacji pola order_mail i braku escapowania danych wyjściowych. Uwierzytelniony atakujący z uprawnieniami co najmniej Editor może wstrzyknąć dowolne skrypty przez stronę General Setting.

Wtyczka Welcart e-Commerce dla WordPressa jest podatna na SQL Injection przez cookie we wszystkich wersjach do 2.11.21 włącznie, z powodu niewystarczającego escapowania wartości podanej przez użytkownika i braku odpowiedniego przygotowania istniejącego zapytania SQL. Umożliwia to uwierzytelnionym atakującym z dostępem co najmniej na poziomie autora dołączanie dodatkowych zapytań SQL do istniejących, co może służyć do wyodrębnienia wrażliwych informacji z bazy danych.