Een kritieke kwetsbaarheid in de populaire WordPress-plugin WooCommerce Social Login stelt aanvallers in staat om zonder enige vorm van inloggegevens volledige controle over een webshop te krijgen. Beheerders die de plugin gebruiken, doen er goed aan nu te controleren welke versie er draait en die zo snel mogelijk bij te werken.
Wat maakt dit lek zo ernstig?
Het gevaarlijkste aan deze kwetsbaarheid is dat een aanvaller geen account, wachtwoord of speciale toegang nodig heeft. Een kwetsbaarheid die 'unauthenticated' misbruikt kan worden, is voor beveiligingsonderzoekers altijd het meest verontrustende scenario, omdat elke bezoeker met de juiste kennis een aanval kan uitvoeren.
Bij een volledige site-overname kan een aanvaller doorgaans een eigen beheerdersaccount aanmaken, kwaadaardige code injecteren of de webshop gebruiken om malware te verspreiden. In een ecommerce-omgeving komt daar het risico bovenop dat bestelgegevens, klantaccounts en betaalstromen worden gemanipuleerd.
WooCommerce als aantrekkelijk doelwit
WooCommerce draait naar schatting op meer dan 3,6 miljoen actieve websites en is daarmee een van de meest gebruikte ecommerceoplossingen binnen WordPress. Die schaal maakt elke plugin binnen dat ecosysteem interessant voor kwaadwillenden, simpelweg omdat een enkel lek potentieel duizenden winkels tegelijk raakt.
Beveiligingsonderzoek laat al jaren zien dat geautomatiseerde bots binnen enkele uren na openbaarmaking van een kwetsbaarheid actief op zoek gaan naar kwetsbare installaties. Voor webshopeigenaren betekent dit dat de tijd tussen het bekend worden van een lek en het daadwerkelijk misbruikt worden vaak minimaal is.
Wat moet je nu doen als winkelier?
Wacht niet tot je merkt dat er iets misgaat. Loop onderstaande stappen na zodra je weet dat WooCommerce Social Login op je site actief is.
- Controleer in het WordPress-dashboard welke versie van de plugin actief is
- Werk de plugin direct bij naar de nieuwste beschikbare versie
- Schakel de plugin tijdelijk uit als er nog geen patch beschikbaar is
- Controleer de lijst met beheerdersaccounts op onbekende of verdachte gebruikers
- Scan de website op onbekende bestanden of recente wijzigingen in de code
- Zet waar mogelijk tweestapsverificatie aan voor beheerdersaccounts
- Overweeg een beveiligingsplugin of firewall die bekende aanvalspatronen blokkeert
Een webshop die tijdelijk zonder sociale login draait, kost je hooguit wat gemak voor bezoekers. Een webshop die is overgenomen, kost je vertrouwen, omzet en mogelijk klantgegevens.
Bron: Search Engine Journal