Tên plugin: Data privacy extended (data protection law) – GDPR Module
Tên lỗ hổng: CSRF (Cross-Site Request Forgery) trong tính năng "Delete Account"
Phiên bản PrestaShop bị ảnh hưởng: v1.6.0.4 – v1.7.6.0
Phiên bản dễ bị tấn công: <3.7.8
Phiên bản đã vá: 3.7.8
Lỗ hổng báo cáo: 20/06/2019
Lỗ hổng đã vá: 25/06/2019

Khi thực hiện kiểm toán bảo mật cho một khách hàng PrestaShop tại Astra, tôi phát hiện lỗ hổng CSRF (Cross-Site Request Forgery) nghiêm trọng trong module PrestaShop, Data Privacy Extended (phát triển bởi Innovadeluxe). Hiện có hơn 2500 cài đặt hoạt động. Do lỗ hổng này, user chưa xác thực có thể xóa tài khoản của user PrestaShop đã xác thực bằng cách lừa họ mở link độc hại trên web.

Là công ty bảo mật có trách nhiệm, Astra báo cáo lỗ hổng cho developer ngay lập tức. Developer Innovadeluxe phản hồi nhanh và hành động kịp thời. Họ vá lỗ hổng và phát hành phiên bản cập nhật 3.7.8 vào 25/06/2019.

Chi Tiết Lỗ Hổng:

Module Data Privacy Extended giúp trang web PrestaShop tuân thủ GDPR hơn. Có tính năng như yêu cầu đồng ý riêng tư trong form đăng ký bản tin, form liên hệ, form đăng ký, v.v. Ngoài ra, cho phép khách hàng xóa tài khoản nếu không có hóa đơn thích hợp cho đơn đặt hàng. Vì vậy, URL/API endpoint xóa tài khoản dễ bị CSRF (Cross Site Request Forgery), cho phép hacker lừa user đã đăng nhập xóa tài khoản PrestaShop chỉ bằng cách truy cập URL độc hại/ghé thăm trang web.

Chi Tiết Kỹ Thuật:

Đây là proof of concept minh họa cách lỗ hổng có thể bị khai thác,

Bạn Có Thể Làm Gì:

Tấn công CSRF đáng sợ; cho phép hacker nắm thông tin nhạy cảm như chi tiết thẻ tín từ, database mật, tài khoản admin, v.v. Nhưng chuẩn bị trước giúp bạn đẩy lùi. Dưới đây là vài cách bảo vệ:

1) Cập Nhật Lên Phiên Bản Mới Nhất

Developer plugin đã cập nhật và phát hành phiên bản vá lỗi trên PrestaShop. Nếu bạn chưa chuyển sang phiên bản an toàn (3.7.8) hãy cập nhật ngay. Ngoài ra, nếu dùng phiên bản CMS cũ, cập nhật đó nữa.

2) Đầu Tử Tường Lửa

Tường lửa tạo lớp bảo vệ cho trang web. Đầu tư tường lửa ứng dụng web tốt mang lại bảo mật tăng cường, ít vấn đề hơn, về cơ bản ROI cao. Một tường lửa cao cấp như Astra Firewall.

Nó chặn CSRF, SQLi, XSS, bad bots, OWASP TOP 10 và 100+ mối đe dọa khác. Tường lửa cũng cung cấp hệ thống giám sát toàn diện & liên tục.

Bấm đây để bảo vệ trang web.