Podatności CubeCart

CubeCart to rozwiązanie oprogramowania e-commerce, które przed wersją 6.7.3 pozwalało administratorom z uprawnieniami do edytowania dokumentów na zapisanie surowego kodu PHP w Edytorze Faktur. Po kliknięciu przez dowolnego administratora opcji Drukuj, szablon jest zapisywany w pliku, który może być wykonany przez nieautoryzowanych użytkowników.

CubeCart przed wersją 6.7.2 ma lukę, która pozwala atakującemu na przejęcie konta użytkownika poprzez manipulację linkami w e-mailach. Atakujący może wykorzystać nagłówek Host, aby wysłać złośliwy link do ofiary, co prowadzi do przejęcia konta.

W CubeCart przed wersją 6.6.0 zidentyfikowano podatności na uwierzytelnioną, czasową, ślepą injekcję SQL w parametrach sortowania (sort[price], sort_activity, sort_admin, sort_customer) w punktach końcowych produktów i logów. Umożliwia to atakującemu wykonanie dowolnych poleceń SQL, co zagraża poufności i integralności bazy danych.

W CubeCart przed wersją 6.7.0 występuje podatność na wstrzykiwanie szablonów po stronie serwera (SSTI) w wielu modułach, takich jak szablony e-mail, faktury, dokumenty i formularze kontaktowe. Aplikacja niebezpiecznie ocenia dane wejściowe dostarczone przez użytkowników, co pozwala na wykonanie dowolnych poleceń systemowych przez uwierzytelnionych użytkowników z uprawnieniami administracyjnymi.

CubeCart przed wersją 6.7.0 zawierał podatność na uwierzytelnione przesyłanie dowolnych plików w punkcie końcowym REST API File Manager. Umożliwia to osobom posiadającym klucz API z uprawnieniami files:rw przesyłanie plików PHP do katalogu images/source/, gdzie są one wykonywane przez serwer WWW.

W CubeCart przed wersją 6.7.0 występuje podatność na wstrzyknięcie szablonów po stronie serwera (SSTI) w wielu modułach, w tym w szablonach e-mail i dokumentach. Aplikacja niebezpiecznie ocenia dane wejściowe dostarczone przez użytkownika za pomocą silnika szablonów Smarty.

W CubeCart przed wersją 6.7.5 narzędzia GDPR w admin/sources/customers.gdpr.inc.php polegają wyłącznie na uprawnieniu CC_PERM_READ i nie wymagają CC_PERM_DELETE dla poleceń purge, no_order_purge i delete_guests. Uwierzytelniony administrator z uprawnieniami tylko do odczytu może bezpośrednio wywołać te akcje, omijając ograniczenia interfejsu i nieodwracalnie usuwając rekordy klientów, konta bez zamówień lub konta gości.

CubeCart, oprogramowanie e-commerce, przed wersją 6.7.5 w admin/sources/settings.index.inc.php bezpośrednio konkatenuje kontrolowany przez administratora parametr POST download_expire do surowego zapytania UPDATE dla CubeCart_downloads bez walidacji numerycznej. Uwierzytelniony administrator może dostarczyć wartość rozdzielaną przecinkami, która zmienia klauzulę SET, ponieważ sanityzacja HTML nie neutralizuje składni SQL, co pozwala na manipulację kolumnami bazy danych i potencjalnie innymi danymi w ramach uprawnień bazy danych aplikacji. Problem został naprawiony w wersji 6.7.5.

CubeCart, oprogramowanie e-commerce, przed wersją 6.7.5 w admin/sources/maintenance.index.inc.php umieszcza kontrolowane przez administratora wartości tablename w instrukcjach ALTER TABLE, CHECK TABLE i ANALYZE TABLE bez walidacji identyfikatorów lub escapowania osadzonych backticków. Uwierzytelniony administrator może zakończyć cytowany identyfikator zamykającym backtickiem i wprowadzić kontrolowany przez atakującego strukturalny SQL, potencjalnie naruszając poufność, integralność i dostępność bazy danych w ramach uprawnień bazy danych aplikacji. Problem został naprawiony w wersji 6.7.5.

W CubeCart przed wersją 6.7.5 plik admin/sources/products.index.inc.php odczytuje pola tekstowe description, description_short i spec_copy z $GLOBALS['RAW']['POST'] i usuwa tylko elementy script przed zapisaniem i renderowaniem przez szablony Smarty. Administrator z uprawnieniami do edycji produktów może przechowywać atrybuty obsługi zdarzeń, treści SVG lub URI javascript:, które omijają filtr, powodując trwałe wykonanie JavaScript podczas przeglądania treści produktu przez odwiedzającego sklep lub innego administratora.

W CubeCart przed wersją 6.7.5 metoda _errorMessage w classes/gui.class.php używa strip_tags, aby zezwolić na elementy kotwicy w komunikatach błędów, informacyjnych i ostrzegawczych, zachowując niebezpieczne wartości href i procedury obsługi zdarzeń onclick. Dane wyszukiwania lub dane wejściowe kontrolowane przez atakującego, które trafiają do komunikatu GUI, mogą przenosić URI javascript: lub procedurę obsługi zdarzeń przez filtr, a wyświetlenie lub interakcja z wyrenderowaną kotwicą wykonuje JavaScript w sesji przeglądarki ofiary.

W CubeCart przed wersją 6.7.5 procedura usuwania notatek w admin/sources/orders.index.inc.php weryfikuje tylko obecność parametrów order_id i delete-note przed usunięciem rekordów z CubeCart_order_notes, bez wymagania uprawnienia CC_PERM_DELETE dla zamówień. Uwierzytelniony administrator bez uprawnień do modyfikacji zamówień może bezpośrednio wywołać procedurę z prawidłowymi identyfikatorami i usunąć notatki historii zamówień, usuwając rekordy operacyjne i dane dziennika audytu.

W CubeCart przed wersją 6.7.5 akcje reset_id (licznik pobrań) i delete_card (przechowywana karta płatnicza) w admin/sources/orders.index.inc.php używają żądań GET zmieniających stan i są pominięte w mapie ochrony w admin/skins/default/csrf.inc.php. Zdalny atakujący może nakłonić uwierzytelnionego administratora do wysłania jednego z tych żądań bez ważnego tokena sesji, powodując niezamierzone zresetowanie liczników pobrań elektronicznych lub usunięcie przechowywanych tokenów kart płatniczych klientów.