Cyberthreat.id – WooCommerce mengungkapkan bahwa pihaknya telah memperbaiki kerentanan pada plugin solusi pembayaran WooCommerce untuk sistem manajemen konten (CMS) WordPressyang membahayakan 500.000 situs web.

Kerentanan ini memungkinkan aktor ancaman yang tidak diautentikasi untuk mendapatkan hak istimewa administratif dan mengambil alih situs web.

Dikutip dari Info Security Magazine, pakar Keamanan di Wordfence mengungkapkan bahwa pihaknya menemukan kerentanan bypass autentikasi kritis dalam postingan blog yang diterbitkan pada hari Kamis. Dalam posting blog yang ditulis oleh peneliti ancaman senior Ram Gall, menjelaskan bagaimana tim menemukan kerentanan setelah menganalisis plugin WooCommerce versi 5.6.2 pada hari yang sama saat dirilis.

“Setelah meninjau pembaruan, kami memutuskan bahwa itu menghapus kode rentan yang dapat memungkinkan penyerang yang tidak diautentikasi untuk menyamar sebagai administrator dan sepenuhnya mengambil alih situs web tanpa memerlukan interaksi pengguna atau rekayasa sosial,” tulis Gall.

Gall menjelaskan bahwa entri changelog untuk plugin 5.6.2 hanya menampilkan “Pembaruan keamanan” tanpa menyebutkan rincian kelemahan kritis yang ditambalnya. Terlepas dari versi Wordfence yang Anda gunakan, kami mendesak Anda untuk segera memperbarui ke versi terbaru plugin WooCommerce Payments, yaitu 5.6.2 saat tulisan ini dibuat.

“Pembayaran WooCommerce diinstal di lebih dari 500.000 situs, dan ini merupakan kerentanan kritis,” kata Gall.

Gall juga mengklarifikasi bahwa tim Wordfence tidak mengetahui apakah kelemahan ini ditemukan secara internal oleh Automattic (pengembang di balik WooCommerce) atau dilaporkan oleh peneliti eksternal. Wordfence belum menemukan contoh kerentanan yang dieksploitasi di alam liar, tetapi itu mungkin berubah dalam waktu dekat.

“Kami memperkirakan akan melihat serangan skala besar yang menargetkan kerentanan ini setelah bukti konsep tersedia bagi penyerang,” tambah Gall.

Kerentanan itu muncul beberapa bulan setelah peneliti keamanan Sucuri melihat kampanye malware yang dirancang untuk meningkatkan peringkat mesin pencari lebih dari 15.000 spam WordPress dan situs lainnya.