PDF Invoice Plus Magento Extension 취약점 정보
몇 주 전에 우리 보안 팀은 Magento를 사용하여 고객 매장에 대한 보안 감사를 수행했습니다. 고객이 사용하는 확장 기능을 테스트하는 동안 확장 기능 PDF Invoice Plus에서 치명적인 취약점이 발견되었습니다. 이 확장은 수백 개의 Magento 매장에서 고객을 위한 송장을 생성하기 위해 널리 사용되는 확장입니다. 일반적으로 이러한 인보이스에는 최종 고객 주소와 개인 정보가 포함되어 있습니다.
취약점의 결과:
- 최종 사용자 데이터 손실
- 누구나 다른 사용자의 인보이스를 다운로드할 수 있습니다.
- Google dork 사용을 통한 인보이스 정보 유출
취약점 세부정보:
- PDF Invoice Plus를 사용하여 웹사이트로 이동
- 다음과 같은 URL을 방문하기만 하면 됩니다. https://AnyMageStore.com/pdfinvoiceplus/order/print/order_id/208/
- '208' 값을 계속 변경 URL에 해당 번호가 포함된 인보이스가 있으면 다운로드됩니다.
- 웹사이트에 로그인하지 않은 사람도 가능합니다!
대량 악용 가능성:
PDF Invoice Plus 확장 프로그램이 인보이스를 릴리스하는 URL이 거의 모든 상점에 대해 일정하게 유지되기 때문에 이것을 Google dork로 만들 수 있다는 것을 깨달았습니다. 우리는 다음 Google dork를 시도했습니다.
[alert type=”success” enable_close=”no”]inurl:pdfinvoiceplus/[/alert] PDF 인보이스를 사용하여 모든 웹사이트를 보여줍니다.
이러한 Magento 매장에서 다음 부분:pdfinvoiceplus/order/print/order_id/508/ 기본 웹사이트 URL에 추가하면 해당 매장의 고객을 위해 생성된 인보이스가 다운로드됩니다. 숫자 508 상점에 따라 반복/변경 또는 추측할 수 있습니다.
이 확장을 사용하는 경우 Magento 확장 취약점으로부터 자신을 보호하기 위해 최신 버전으로 업데이트하는 것이 좋습니다.
타임라인
PDF Invoice Plus 팀은 문제를 이해하는 데 매우 빠르고 신속하게 수정 작업을 수행했습니다. 팀에서 수정 작업을 수행할 사람이 신속하게 지정되었습니다. 곧 확인을 위해 새 버전이 전송되었습니다. 확인 후 확장 프로그램의 보안 버전이 고객에게 릴리스되었습니다.