【漏洞通告】WordPress WooCommerce礼品卡插件远程代码执行漏洞(CVE-2021-3120)

admin 2021年5月6日04:24:45评论110 views字数 1920阅读6分24秒阅读模式

漏洞名称WordPress WooCommerce礼品卡插件远程代码执行漏洞 CVE-2021-3120

组件名称 : YITH WooCommerce Gift Cards Premium

威胁等级 :

影响范围 YITH WooCommerce Gift Cards Premium < 3.3.1

漏洞类型 远程代码执行

利用条件 : 1、用户认证:不需要用户认证

2、前置条件:将有效的Gift Card产品放入购物车
3、触发方式:远程

造成后果 : 攻击者可以利用该漏洞将恶意文件上传到服务器,从而在服务器操作系统中实现远程代码执行。


漏洞分析


组件介绍

WordPress是一款使用PHP语言和MySQL数据库开发的个人博客系统,并逐步演化成一款内容管理系统软件,用户可以在支持 PHP 和 MySQL数据库的服务器上使用自己的博客。


YITH WooCommerce礼品卡是WordPress插件中一种免费轻松的解决方案,可以在电子商务中销售礼品卡。


2 漏洞描述

2021年2月22日,深信服安全团队监测到一则YITH WooCommerce礼品卡组件存在远程代码执行漏洞的信息,漏洞编号:CVE-2021-3120,漏洞危害:高危。该漏洞是由于上传图片接口安全过滤不严格导致的,攻击者可利用该漏洞在未授权的情况下,上传恶意文件到服务器上,最终造成远程代码执行。


影响范围


WordPress 由于其高可扩展性和兼容性被广泛使用,成为最流行的CMS之一。全球约40%的网站在使用WordPress,小到个人博客,大到新闻网站,可能受漏洞影响的资产广泛分布于世界各地,中国大陆省份中,浙江、北京、广东、上海、山东等省市接近 70%,今年曝出的漏洞属于高危,且涉及用户量大,导致漏洞影响力很大。


目前受影响的YITH WooCommerce礼品卡版本:

YITH WooCommerce Gift Cards Premium < 3.3.1


解决方案


自检方案

用户可通过访问

/wp-content/plugins/yith-woocommerce-gift-cards-premium/readme.txt页面,查看页面中的Stable tag即为当前YITH WooCommerce Gift Cards Premium版本,如下图版本为3.1.11,在漏洞受影响范围内:

【漏洞通告】WordPress WooCommerce礼品卡插件远程代码执行漏洞(CVE-2021-3120)


2 官方修复建议

当前官方已发布最新版本,建议受影响的用户及时更新升级到最新版本。链接如下:

https://wordpress.org/plugins/yith-woocommerce-gift-cards/

可采用官网下载离线升级或在线更新两种方式,在WordPress后台管理页面->插件->已安装插件,若存在漏洞影响范围内的插件,可点击升级:

【漏洞通告】WordPress WooCommerce礼品卡插件远程代码执行漏洞(CVE-2021-3120)


深信服解决方案

深信服下一代防火墙】可轻松防御此漏洞, 建议部署深信服下一代防火墙的用户更新至最新的安全防护规则,可轻松抵御此高危风险。

深信服云盾】已第一时间从云端自动更新防护规则,云盾用户无需操作,即可轻松、快速防御此高危风险。

深信服安全感知平台】可检测利用该漏洞的攻击,实时告警,并可联动【深信服下一代防火墙等产品】实现对攻击者ip的封堵。

深信服安全运营服务】深信服云端安全专家提供7*24小时持续的安全运营服务。在漏洞爆发之初,云端安全专家即对客户的网络环境进行漏洞扫描,保障第一时间检查客户的主机是否存在此漏洞。对存在漏洞的用户,检查并更新了客户防护设备的策略,确保客户防护设备可以防御此漏洞风险。

深信服安全云眼】在漏洞爆发之初,已完成检测更新,对所有用户网站探测,保障用户安全。不清楚自身业务是否存在漏洞的用户,可注册信服云眼账号,获取30天免费安全体验。

注册地址:http://saas.sangfor.com.cn

深信服云镜】在漏洞爆发第一时间即完成检测能力的发布,部署云端版云镜的用户只需选择紧急漏洞检测,即可轻松、快速检测此高危风险。部署离线版云镜的用户需要下载离线更新包来获取该漏洞的检测能力。


时间轴


2021/2/22  深信服监测到YITH WooCommerce Gift Cards Premium plugin漏洞攻击信息。

2021/2/24  深信服千里目安全实验室发布漏洞通告及产品解决方案。



点击阅读原文,及时关注并登录深信服智安全平台,可轻松查询漏洞相关解决方案。

【漏洞通告】WordPress WooCommerce礼品卡插件远程代码执行漏洞(CVE-2021-3120)


深信服千里目安全实验室

【漏洞通告】WordPress WooCommerce礼品卡插件远程代码执行漏洞(CVE-2021-3120)

深信服科技旗下安全实验室,致力于网络安全攻防技术的研究和积累,深度洞察未知网络安全威胁,解读前沿安全技术。

● 扫码关注我们



本文始发于微信公众号(深信服千里目安全实验室):【漏洞通告】WordPress WooCommerce礼品卡插件远程代码执行漏洞(CVE-2021-3120)

  • 左青龙
  • 微信扫一扫
  • weinxin
  • 右白虎
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2021年5月6日04:24:45
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出):
                   【漏洞通告】WordPress WooCommerce礼品卡插件远程代码执行漏洞(CVE-2021-3120)http://cn-sec.com/archives/272655.html

发表评论

匿名网友 填写信息