Một vài tuần trước, chúng tôi đã thực hiện quét bảo mật cho một khách hàng sử dụng cửa hàng Magento. Trong khi kiểm tra trang web của họ, nhóm của chúng tôi đã tìm thấy một lỗ hổng nghiêm trọng trong mô-đun Affiliate Plus. Theo trang web của Affiliate Plus, hơn 7000 cửa hàng sử dụng tiện ích này. Lỗ hổng XSS của mô-đun Affiliate Plus Magento này khiến một số cửa hàng Magento dễ bị tấn công.
Giới thiệu về XSS Mô-đun Magento Affiliate Plus
- Khi đăng nhập vào cửa hàng Magento của bạn với tư cách là Chi nhánh, hãy chuyển đến 'Phần chương trình của tôi'
- Trong cột "Tên chương trình", hãy thêm mã JS sau:
<script>alert(/XSS_Vulnerability/)</script>
- Nhấp vào nút 'tìm kiếm'
- Cửa sổ bật lên đề xuất thực thi mã javascript xuất hiện
- Ngoài ra, ngay cả các truy vấn SQL cũng được đưa ra bởi ứng dụng cho thấy Lỗi SQL và cấu trúc cơ sở dữ liệu
Hậu quả
XSS, là một trong những lỗ hổng được tìm thấy và khai thác rộng rãi nhất, đi kèm với một số hậu quả nghiêm trọng. Trong trường hợp XSS được phản ánh, hậu quả thường nhắm vào một khách hàng cụ thể. Tuy nhiên, các cuộc tấn công có thể được thực hiện nhằm mục đích ăn cắp dữ liệu quản trị viên và hơn thế nữa. Có bao gồm:
- Sự thỏa hiệp của dữ liệu người dùng cuối / thông tin tài khoản
- Đánh cắp thông tin chi tiết của quản trị viên thông qua các cuộc tấn công có chủ đích
- Tiếp xúc với cấu trúc thư mục nội bộ của ứng dụng web
Dòng thời gian
Nhóm Affiliate Plus đã rất nhanh chóng hiểu được vấn đề và nhanh chóng khắc phục sự cố. Họ đã chủ động làm việc trong việc triển khai các bản sửa lỗi cần thiết và phát hành phiên bản cập nhật của mô-đun với bản vá. Kudo cho nhóm!