{"id":12635,"date":"2022-11-28T02:47:00","date_gmt":"2022-11-27T19:47:00","guid":{"rendered":"https:\/\/www.jetorbit.com\/blog\/?p=12635"},"modified":"2022-11-24T14:56:27","modified_gmt":"2022-11-24T07:56:27","slug":"plugin-woocommerce-dengan-celah-kerentanan","status":"publish","type":"post","link":"https:\/\/www.jetorbit.com\/blog\/plugin-woocommerce-dengan-celah-kerentanan\/","title":{"rendered":"Waspada! Ada Lima Plugin WooCommerce dengan Celah Kerentanan"},"content":{"rendered":"\n

Kalian punya website toko online WordPress yang dibangun dengan WooCommerce, kah? FYI, belum lama ini ditemukan celah kerentanan di lima plugin WooCommerce! Tak usah lama-lama, simak infonya yuk Waspada! Ada Lima Plugin WooCommerce dengan Celah Kerentanan<\/strong><\/p>\n\n\n\n

Celah Kerentanan Lima Plugin WooCommerce<\/strong><\/h2>\n\n\n\n

Pada tanggal 7 November 2022, National Vulnerability Database (NVD) merilis informasi tentang ditemukannya celah keamanan di lima plugin WooCommerce <\/a>. <\/p>\n\n\n\n

Apa saja lima plugin WooCommerce yang terdampak celah kerentanan tersebut?<\/p>\n\n\n\n

1. Advanced Order Export for WooCommerce<\/strong><\/h3>\n\n\n\n

Versi terdampak:<\/strong> <=3.3.2<\/p>\n\n\n\n

Tingkat keparahan:<\/strong> 6,5 dari 10 (Menengah)<\/p>\n\n\n

\n
\"plugin<\/a><\/figure><\/div>\n\n\n

Advanced Order Export for WooCommerce adalah plugin yang berguna untuk mengekspor data orderan ke berbagai format file. <\/p>\n\n\n\n

Plugin yang telah diinstall pada 100 ribu website ini, memiliki risiko kerentanan Cross Site Request Forgery<\/em> (CSRF). Hacker <\/em>bisa mengelabui pemilik website agar melakukan sesuatu secara tak sengaja. <\/p>\n\n\n\n

Nah, dalam kasus plugin Advanced Order Export for WooCommerce, upaya tersebut dilakukan saat mengunduh suatu file. Fungsi plugin ini adalah untuk mengekspor detail orderan maka file yang diincar hacker <\/em>tentunya data orderan pelanggan yang umumnya berisi informasi pribadi dan sensitif.<\/p>\n\n\n\n

2. Advanced Dynamic Pricing for WooCommerce<\/strong><\/h3>\n\n\n\n

Versi terdampak: <\/strong><=4.1.5<\/p>\n\n\n\n

Tingkat keparahan:<\/strong> 4,3 dari 10 (Menengah)<\/p>\n\n\n

\n
\"kerentanan<\/a><\/figure><\/div>\n\n\n

Advanced Dynamic Pricing for WooCommerce adalah plugin untuk membantu menetapkan aturan harga dan diskon produk secara mudah. <\/p>\n\n\n\n

Plugin ini juga dihantui kerentanan jenis CSRF. Bedanya, CSRF di sini bisa menyebabkan terjadinya rule type migration<\/em>. <\/p>\n\n\n\n

Sebenarnya, belum ada keterangan pasti tentang cara kerja rule type migration<\/em>. Dampaknya di 20 ribu website yang menggunakan plugin Advanced Dynamic Pricing for WooCommerce juga belum jelas, sih. Namun, bisa jadi kerentanan ini digunakan hacker <\/em>untuk mengubah informasi harga ataupun diskon produk sesuka hati.<\/p>\n\n\n\n

3. Advanced Coupons for WooCommerce Coupons<\/strong><\/h3>\n\n\n\n

Versi terdampak:<\/strong> <=4.5<\/p>\n\n\n\n

Tingkat keparahan:<\/strong> 4,3 dari 10 (Menengah)<\/p>\n\n\n

\n
\"kerentanan<\/a><\/figure><\/div>\n\n\n

Plugin yang dihantui celah kerentanan jenis CSRF selanjutnya adalah Advanced Coupons for WooCommerce Coupons. <\/p>\n\n\n\n

Namun, belum ada kejelasan terkait dampak CSRF di plugin dengan 10 ribu instalasi lebih. Satu-satunya hal yang bisa diketahui adalah celah kerentanan plugin Advanced Coupons dapat memberhentikan pemberitahuan melalui teknik AJAX.<\/p>\n\n\n\n

Plugin ini sendiri berfungsi untuk menambahkan dan mengelola kupon diskon, gift card<\/em>, dan semacamnya.<\/p>\n\n\n\n

4. WooCommerce Dropshipping by OPMC<\/strong><\/h3>\n\n\n\n

Versi terdampak:<\/strong> <=4.3<\/p>\n\n\n\n

Tingkat keparahan: <\/strong>9,8 dari 10 (Kritis)<\/p>\n\n\n

\n
\"woocommerce\"<\/a><\/figure><\/div>\n\n\n

WooCommerce Dropshipping by OPMC adalah plugin untuk menambahkan fitur untuk kebutuhan bisnis dropship<\/em>.<\/p>\n\n\n\n

Plugin dengan 3000 instalasi ini menyimpan masalah keamanan jenis SQL Injection  yang memungkinkan hacker <\/em>untuk mendapat akses administrator. Dengan akses tersebut, hacker <\/em>bisa bebas menghapus bahkan mengintip informasi pribadi di database <\/em>website korban. <\/p>\n\n\n\n

Tak heran kalau celah keamanan ini mendapat label kritis.<\/p>\n\n\n\n

Penyebab SQL Injection di WooCommerce Dropshipping ini karena kurangnya sanitasi atau pembersihan data. Tepatnya, di salah satu REST Endpoint yang memanfaatkan pernyataan SQL tertentu.<\/p>\n\n\n\n

5. Role Based Pricing for WooCommerce<\/strong><\/h3>\n\n\n\n

Versi terdampak:<\/strong> <=1.6.2<\/p>\n\n\n\n

Skor keparahan:<\/strong> 8,8 dari 10 (Tinggi)<\/p>\n\n\n

\n
\"woocommerce\"<\/a><\/figure><\/div>\n\n\n

Role Based Pricing for WooCommerce adalah plugin untuk mengatur harga produk sesuai dengan role <\/em>pengguna. <\/p>\n\n\n\n

Plugin yang telah diinstall 2000 kali ini tak hanya memiliki satu tapi dua celah kerentanan jenis CSRF. Masalah CSRF yang pertama memungkinkan pengguna tingkat rendah seperti subscriber <\/em>mengupload file ke website secara sembarangan. Celah kerentanan ini menghantui Role Based Pricing versi sebelum 1.6.2.<\/p>\n\n\n\n

Sementara CSRF yang kedua menyebabkan subscriber <\/em>bisa mengupload file sekaligus mengeksploitasi website korban menggunakan teknik PHAR deserialization<\/em>. <\/p>\n\n\n\n

Update 5 Plugin WooCommerce ke Versi Terbaru (Solusi Terbaik)<\/strong><\/h2>\n\n\n\n

Para developer <\/em>plugin WooCommercetelah merilis versi terbaru untuk memperbaiki celah keamanan tadi, dengan rincian sebagai berikut:<\/p>\n\n\n\n