„`html
Zusammenfassung
Das WordPress-Plugin MStore API in Versionen vor 4.21.0 enthält eine kritische Autorisierungslücke im vendor-orders Endpoint. Die Schwachstelle ermöglicht es authentifizierten Benutzern mit niedrigen Privilegien, auf alle WooCommerce-Bestellungen der Shop-Instanz zuzugreifen und dabei sensitive Kundendaten offenzulegen. Der CVSS-Score von 6.5 klassifiziert diese als Medium-Severity-Vulnerability.
Betroffene Systeme
Betroffen sind WordPress-Installationen mit aktiviertem MStore API Plugin in den Versionen vor 4.21.0. Das Plugin wird von verschiedenen WooCommerce-Shop-Betreibern eingesetzt, die auf API-gestĂĽtzte Verwaltungsfunktionen angewiesen sind. Das Patch-Status zeigt, dass aktuell kein Fix verfĂĽgbar ist.
Technische Details
Die Schwachstelle basiert auf unzureichenden Zugriffskontrollmechanismen. Der vendor-orders Endpoint validiert nicht, ob der anfragende Benutzer berechtigt ist, die angeforderten Bestelldaten einzusehen. Ein authentifizierter Benutzer mit Subscriber-Rolle kann ohne weitere Authentifizierung folgende Daten exfiltrieren:
- Komplette Bestellinformationen aller Kunden
- Persönliche Kundendaten (Namen, Adressen, Kontaktinformationen)
- Zahlungsinformationen und Transaktionsdetails
Der Angriffsvektor ist netzwerkgestĂĽtzt und erfordert lediglich gĂĽltige Anmeldedaten auf niedrigstem Privileg-Level.
Empfohlene Massnahmen
- SofortmaĂźnahme: Plugin deaktivieren und deinstallieren bis Patch verfĂĽgbar ist
- Alternative: Zugriff auf WP-Admin auf vertrauenswürdige IP-Adressen beschränken
- Monitoring: Logs auf verdächtige API-Zugriffe überprüfen
- Audit: Bestelldaten-Zugriffe überprüfen, möglicherweise betroffene Kunden informieren
Bewertung
Die fehlende Autorisierungsprüfung stellt ein erhebliches Datenschutzrisiko dar. Besonders kritisch ist die Zugänglichkeit für niedrig-privilegierte Benutzer. Administrators sollten umgehend reagieren und das Plugin aus der Produktionsumgebung entfernen, bis ein gesicherter Patch vorliegt.
„`