प्लगइन नाम: डेटा प्राइवेसी एक्सटेंडेड (डेटा सुरक्षा कानून) - GDPR मॉड्यूल
भेद्यता नाम: "डिलीट अकाउंट" में CSRF (क्रॉस-साइट रिक्वेस्ट फोर्जरी)
प्रभावित PrestaShop संस्करण: v1.6.0.4 - v1.7.6.0
कमजोर संस्करण: <3.7.8
पैच किया गया संस्करण: 3.7.8
भेद्यता रिपोर्ट की गई: 20 जून 2019
भेद्यता पैच की गई: 25 जून 2019

एस्ट्रा में हमारे PrestaShop क्लाइंट्स में से एक पर सुरक्षा ऑडिट करते समय, मुझे PrestaShop मॉड्यूल, डेटा प्राइवेसी एक्सटेंडेड (Innovadeluxe द्वारा विकसित) में एक महत्वपूर्ण CSRF (क्रॉस-साइट रिक्वेस्ट फोर्जरी) भेद्यता मिली। इसके वर्तमान में 2500 से अधिक सक्रिय इंस्टॉलेशन हैं। इस भेद्यता के कारण, एक अनधिकृत उपयोगकर्ता वेब पर दुर्भावनापूर्ण लिंक खोलने के लिए एक प्रमाणित PrestaShop उपयोगकर्ता को धोखा देकर उसका अकाउंट डिलीट कर सकता था।

एक जिम्मेदार और चिंतित सुरक्षा कंपनी के रूप में, एस्ट्रा ने बिना देरी के डेवलपर्स को भेद्यता की सूचना दी। Innovadeluxe के डेवलपर्स ने तुरंत प्रतिक्रिया दी और त्वरित कार्रवाई की। उन्होंने भेद्यता को पैच किया और 25 जून 2019 को अपडेटेड संस्करण 3.7.8 जारी किया।

भेद्यता विवरण:

डेटा प्राइवेसी एक्सटेंडेड मॉड्यूल PrestaShop वेबसाइटों को GDPR के साथ अधिक संरेखित बनाने के लिए जाना जाता है। इसमें न्यूज़लेटर सदस्यता फ़ॉर्म, संपर्क फ़ॉर्म, पंजीकरण फ़ॉर्म आदि में गोपनीयता सहमति आवश्यक जैसी विशेषताएं हैं। साथ ही, यह अपने ग्राहकों को अपने अकाउंट डिलीट करने की अनुमति देता है यदि रखे गए ऑर्डर के लिए उचित इनवॉइस नहीं हैं। तो, डिलीट अकाउंट URL/API एंडपॉइंट CSRF (क्रॉस-साइट रिक्वेस्ट फोर्जरी) के लिए कमजोर था, जो एक हैकर को केवल एक दुर्भावनापूर्ण URL/वेब पेज पर जाकर लॉग इन उपयोगकर्ता को उसका PrestaShop अकाउंट डिलीट करने के लिए धोखा देने की अनुमति देगा।

तकनीकी विवरण:

यहां एक अवधारणा का प्रमाण है जो दर्शाता है कि भेद्यता का शोषण कैसे किया जा सकता था,

आप क्या कर सकते हैं:

CSRF हमले डरावने हैं; वे एक हमलावर को आपकी वेबसाइट की संवेदनशील जानकारी जैसे क्रेडिट कार्ड विवरण, गोपनीय डेटाबेस, एडमिन अकाउंट आदि पर कब्जा करने देते हैं। लेकिन, पहले से तैयार रहने से आप अपनी वेबसाइट पर ऐसे प्रयासों को विफल कर सकते हैं। यहां कुछ तरीके दिए गए हैं जिनसे आप अपनी वेबसाइट की रक्षा कर सकते हैं:

1) नवीनतम संस्करण में अपडेट करें

प्लगइन डेवलपर्स ने PrestaShop पर पैच किए गए संस्करण को अपडेट और जारी किया है। यदि आप अभी तक अपडेटेड और सुरक्षित संस्करण (3.7.8) पर नहीं गए हैं तो अभी अपडेट करें। इसके अलावा, यदि आप CMS के पुराने संस्करण का उपयोग कर रहे हैं, तो उसे भी अपडेट करें।

2) फ़ायरवॉल में निवेश करें

एक फ़ायरवॉल आपकी वेबसाइट पर एक सुरक्षात्मक परत का लाभ उठाता है। एक अच्छे वेब एप्लिकेशन फ़ायरवॉल में निवेश करने से आपको बढ़ी हुई सुरक्षा, कम समस्याएं, मूल रूप से निवेश पर उच्च रिटर्न मिल सकता है। ऐसा ही एक प्रीमियम फ़ायरवॉल एस्ट्रा फ़ायरवॉल है।

यह CSRF, SQLi, XSS, खराब बॉट्स, OWASP TOP 10 और आपकी वेबसाइट पर आने वाले 100+ अन्य खतरों को ब्लॉक करता है। एक फ़ायरवॉल आपकी वेबसाइट के लिए निरंतर और व्यापक निगरानी प्रणाली भी प्रदान करता है।

अपनी वेबसाइट की सुरक्षा के लिए यहां क्लिक करें।