Załatana luka bezpieczeństwa w WooCommerce – zalecana pilna aktualizacja do 10.4.3

W WooCommerce zidentyfikowano i załatano lukę bezpieczeństwa. Sklepy korzystające z WooCommerce w wersji 8.1 lub nowszej powinny jak najszybciej zaktualizować wtyczkę do wersji 10.4.3, która zawiera poprawkę. Na ten moment brak informacji o aktywnym wykorzystaniu tej podatności.

Jeśli w sklepie włączone są automatyczne aktualizacje albo hosting jest realizowany w środowisku Automattic (np. WordPress.com, Pressable, WordPress VIP lub hosty korzystające z WP Cloud), poprawka mogła zostać zainstalowana automatycznie. Warto jednak samodzielnie potwierdzić aktualną wersję.

Co należy zrobić

Rekomendowane działanie to aktualizacja WooCommerce do 10.4.3:

1. Wejdź w Panel administracyjny WordPress → Kokpit → Aktualizacje.

2. Znajdź WooCommerce na liście aktualizacji.

3. Jeśli masz już 10.4.3, nie są wymagane dalsze działania.

4. Jeśli widzisz opcję „Aktualizuj teraz” lub masz wersję starszą niż 10.4.3 — wykonaj aktualizację.

Na czym polegała podatność

Zgłoszona luka dotyczyła interfejsu API sklepu (Store API) w WooCommerce. W określonych warunkach umożliwiała zalogowanym klientom podejrzenie szczegółów zamówień złożonych przez gości (zamówień bez zakładania konta).

Po otrzymaniu zgłoszenia zespół przygotował i wdrożył poprawki dla wszystkich zagrożonych wersji.

Ustalenia dotyczące podatności wskazują, że:

• wymagała użycia konkretnego endpointu API i wiedzy o sposobie ataku,

• pozwalała jedynie na wgląd w dane zamówień gości,

• wymagała posiadania konta w sklepie i zalogowania,

• istniała około dwa lata bez znanych przypadków nadużyć.

Jakie dane mogłyby zostać ujawnione

W przypadku wykorzystania luki mogłyby zostać ujawnione dane z zamówień klientów, m.in.:

• imię i nazwisko,

• adres e-mail,

• numer telefonu,

• adres wysyłki i rozliczeniowy,

• informacje o metodzie płatności (typ),

• kupione produkty.

Dane kart płatniczych ani inne dane finansowe nie były ujawniane.

Zakres poprawek

Poprawki przygotowano dla wersji WooCommerce od 8.1 do 10.4.2 (łącznie 23 wersje). Wersja 10.4.3 zawiera załataną podatność i jest rekomendowaną aktualizacją dla sklepów spełniających warunek wersji bazowej (8.1+).