Missing Authorization in WooCommerce Multiple Customer Addresses & Shipping

Technische Analyse

Die Schwachstelle betrifft die REST-API-Endpunkte des Plugins zur Verwaltung von Kundenadressdaten. Eine fehlende Berechtigungsprüfung (CWE-862) erlaubt es authentifizierten Nutzern mit minimalsten Rechten (Subscriber), auf Adressdaten beliebiger anderer Kunden zuzugreifen.

Betroffene Funktionalität

Das Plugin stellt AJAX-Endpunkte bereit, über die Adressen verwaltet werden. Die Endpunkte prüfen lediglich, ob der anfragende Nutzer eingeloggt ist - eine Validierung, ob die angeforderte Adresse dem Nutzer gehört, fehlt.

Angriffsvektor

Ein Angreifer mit einem einfachen Subscriber-Account kann durch Manipulation der Adress-ID in API-Anfragen:

• Lesen: Vollständige Adressdaten anderer Kunden einsehen (Name, Adresse, Telefon)
• Ändern: Lieferadressen anderer Kunden modifizieren
• Löschen: Gespeicherte Adressen anderer Kunden entfernen

Auswirkung

• Vertraulichkeit: Personenbezogene Daten (Adressen, Namen, Telefonnummern) können vollständig exfiltriert werden
• Integrität: Manipulation von Lieferadressen kann zu Warenbetrug und Falschzustellungen führen
• Verfügbarkeit: Massenhaftes Löschen von Adressdaten anderer Kunden ist möglich und kann den Bestellprozess des gesamten Shops empfindlich stören - der reale CVSS-Vektor bewertet daher auch die Verfügbarkeit als hoch beeinträchtigt (A:H)

Empfohlene Maßnahmen

1. Sofort: Update auf Version 21.7 durchführen
2. Kurzfristig: Prüfen, ob unbefugte Zugriffe auf Adressdaten stattgefunden haben (WooCommerce-Logs)
3. Langfristig: Regelmäßige Penetrationstests des WooCommerce-Shops durchführen

Wir testen Ihre Web-Applikationen auf genau solche Schwachstellen. Erfahren Sie mehr über unsere Penetrationstests