Exploits nel Plugin WooCommerce di WordPress Permettono Addebiti Fraudolenti

# WooCommerce WordPress Plugin Exploit Abilita Addebiti Fraudolenti

Il popolare plugin WooCommerce Square per WordPress presenta una vulnerabilità che consente a attaccanti non autenticati di scoprire le informazioni delle carte di credito memorizzate e di effettuare addebiti fraudolenti. Questa vulnerabilità interessa fino a 80.000 installazioni.

## WooCommerce Square WordPress Plugin

Il plugin WooCommerce Square permette ai siti WordPress di accettare pagamenti tramite Square POS e di sincronizzare i dati dell’inventario dei prodotti tra Square e WooCommerce. Grazie a questo plugin, i commercianti di WooCommerce possono supportare pagamenti tramite Apple Pay®, Google Pay, WooCommerce Pre-Orders e WooCommerce Subscriptions.

## Riferimento Diretto a Oggetti Insicuro

La vulnerabilità nel plugin deriva da un Riferimento Diretto a Oggetti Insicuro (IDOR), un difetto che si verifica quando dati critici sono esposti nei parametri URL, come i numeri di identificazione. Questo consente a un attaccante di manipolare quei dati senza il corretto accesso che normalmente prevenirebbe l’accesso a quei file.

L’Open Worldwide Application Security Project (OWASP) definisce l’IDOR come:

> “Il Riferimento Diretto a Oggetti Insicuro (IDOR) è una vulnerabilità che sorge quando gli attaccanti possono accedere o modificare oggetti manipolando identificatori utilizzati negli URL o nei parametri di un’applicazione web. Si verifica a causa della mancanza di controlli di accesso, che non verificano se un utente dovrebbe avere il permesso di accedere a dati specifici.”

Sfruttare la vulnerabilità non richiede che l’attaccante acquisisca alcun livello di autenticazione o autorizzazioni, rendendo più facile per loro lanciare un attacco sui siti affetti.

### Raccomandazioni di Sicurezza

Secondo un *advisory* di Wordfence:

> “Il plugin WooCommerce Square per WordPress è vulnerabile a un Riferimento Diretto a Oggetti Insicuro in tutte le versioni fino alla 5.1.1 tramite la funzione get_token_by_id a causa della mancanza di validazione su una chiave controllata dall’utente. Questo rende possibile per attaccanti non autenticati esporre valori arbitrari di ‘ccof’ (carta di credito in archivio) di Square e sfruttare questo valore per effettuare potenzialmente addebiti fraudolenti sul sito target.”

Sono disponibili versioni multiple del plugin WooCommerce Square già patchate. Si raccomanda agli utenti del plugin di aggiornare almeno a una delle seguenti versioni:

– 4.2.3
– 4.3.2
– 4.4.2
– 4.5.2
– 4.6.4
– 4.7.4
– 4.8.8
– 4.9.9
– 5.0.1
– 5.1.2

Il punteggio di gravità della vulnerabilità CVSS è valutato a 7.5, il che indica che si tratta di una vulnerabilità pericolosa che può essere sfruttata a distanza, ma è mitigata da una limitazione che la tiene lontana dalla classificazione di “Critica”.

—

Il consiglio finale è di mantenere sempre aggiornati i plugin e di monitorare eventuali avvisi di sicurezza per proteggere i propri dati e quelli dei clienti.