🚨 NOVA NOTÍCIA EM DESTAQUE! 🚨
Confira agora e compartilhe com seus amigos!
Apoie esse projeto de divulgacao de noticias! Clique aqui
Uma vulnerabilidade crítica no plugin Funnel Builder para WordPress está sendo explorada ativamente para injetar trechos maliciosos de JavaScript nas páginas de checkout do WooCommerce.
A falha não recebeu um identificador oficial e pode ser aproveitada sem autenticação. Afeta todas as versões do plugin anteriores a 3.15.0.3.
Funnel Builder é um plugin WordPress para WooCommerce Checkout desenvolvido pela FunnelKit, usado principalmente para personalizar páginas de checkout, com recursos como upsell com um clique, landing pages e para otimizar taxas de conversão.
Com base nas estatísticas do WordPress.org, o plug-in Funnel Builder está ativo em mais de 40.000 sites.
A empresa de segurança de comércio eletrônico Sansec detectou a atividade maliciosa e percebeu que a carga útil (analytics-reports[.]com/wss/jquery-lib.js) está disfarçada como um script falso do Gerenciador de tags do Google/Google Analytics que abre uma conexão WebSocket para um local externo (wss://protect-wss[.]com/ws).
Um invasor pode explorá-lo para modificar as configurações globais do plug-in por meio de um endpoint de checkout desprotegido e exposto publicamente. Isso permite que eles injetem JavaScript arbitrário na configuração “Scripts externos” do plug-in, fazendo com que códigos maliciosos sejam executados em todas as páginas de checkout.
De acordo com a Sansec, o servidor controlado pelo invasor fornece um skimmer de cartão de pagamento personalizado que rouba as seguintes informações:
Números de cartão de crédito
CVVs
Endereços de cobrança
Outras informações do cliente
Os skimmers de cartões de pagamento permitem que os agentes de ameaças façam compras online fraudulentas, enquanto os registros roubados muitas vezes acabam vendidos individualmente ou em massa em portais da dark web conhecidos como mercados de cartões.
O FunnelKit resolveu a vulnerabilidade na versão 3.15.0.3 do Funnel Builder, lançada ontem.
Um comunicado de segurança do fornecedor, visto pela Sansec, confirma a atividade maliciosa, dizendo “identificamos um problema que permitiu que atores mal-intencionados injetassem scripts”.
O fornecedor recomenda que os proprietários e administradores de sites priorizem a atualização para a versão mais recente no painel do WordPress e também revisem Configurações > Check-out > Scripts externos para possíveis scripts não autorizados que o invasor possa ter adicionado.
A lacuna de validação: o Pentesting automatizado responde a uma pergunta. Você precisa de seis.
As ferramentas automatizadas de pentesting oferecem valor real, mas foram criadas para responder a uma pergunta: um invasor pode se mover pela rede? Eles não foram criados para testar se seus controles bloqueiam ameaças, se suas regras de detecção são acionadas ou se suas configurações de nuvem são mantidas. Este guia cobre as 6 superfícies que você realmente precisa validar.
Baixe agora
A falha não recebeu um identificador oficial e pode ser aproveitada sem autenticação. Afeta todas as versões do plugin anteriores a 3.15.0.3.
Funnel Builder é um plugin WordPress para WooCommerce Checkout desenvolvido pela FunnelKit, usado principalmente para personalizar páginas de checkout, com recursos como upsell com um clique, landing pages e para otimizar taxas de conversão.
Com base nas estatísticas do WordPress.org, o plug-in Funnel Builder está ativo em mais de 40.000 sites.
A empresa de segurança de comércio eletrônico Sansec detectou a atividade maliciosa e percebeu que a carga útil (analytics-reports[.]com/wss/jquery-lib.js) está disfarçada como um script falso do Gerenciador de tags do Google/Google Analytics que abre uma conexão WebSocket para um local externo (wss://protect-wss[.]com/ws).
Um invasor pode explorá-lo para modificar as configurações globais do plug-in por meio de um endpoint de checkout desprotegido e exposto publicamente. Isso permite que eles injetem JavaScript arbitrário na configuração “Scripts externos” do plug-in, fazendo com que códigos maliciosos sejam executados em todas as páginas de checkout.
De acordo com a Sansec, o servidor controlado pelo invasor fornece um skimmer de cartão de pagamento personalizado que rouba as seguintes informações:
Números de cartão de crédito
CVVs
Endereços de cobrança
Outras informações do cliente
Os skimmers de cartões de pagamento permitem que os agentes de ameaças façam compras online fraudulentas, enquanto os registros roubados muitas vezes acabam vendidos individualmente ou em massa em portais da dark web conhecidos como mercados de cartões.
O FunnelKit resolveu a vulnerabilidade na versão 3.15.0.3 do Funnel Builder, lançada ontem.
Um comunicado de segurança do fornecedor, visto pela Sansec, confirma a atividade maliciosa, dizendo “identificamos um problema que permitiu que atores mal-intencionados injetassem scripts”.
O fornecedor recomenda que os proprietários e administradores de sites priorizem a atualização para a versão mais recente no painel do WordPress e também revisem Configurações > Check-out > Scripts externos para possíveis scripts não autorizados que o invasor possa ter adicionado.
A lacuna de validação: o Pentesting automatizado responde a uma pergunta. Você precisa de seis.
As ferramentas automatizadas de pentesting oferecem valor real, mas foram criadas para responder a uma pergunta: um invasor pode se mover pela rede? Eles não foram criados para testar se seus controles bloqueiam ameaças, se suas regras de detecção são acionadas ou se suas configurações de nuvem são mantidas. Este guia cobre as 6 superfícies que você realmente precisa validar.
Baixe agora
#samirnews #samir #news #boletimtec #bug #do #plugin #funnel #builder #wordpress #explorado #para #roubar #cartões #de #crédito
⚡ Fique ligado: novidades e promoções em breve por aqui! ⚡
Postar um comentário