Хакери използват недостатък в първокласния модул на Facebook за PrestaShop, наречен pkfacebook, за да използват скимиращи устройства за карти в уязвими сайтове за електронна търговия и да крадат данни за кредитни карти на потребителите.

PrestaShop е платформа за електронна търговия с отворен код, която позволява на физически лица и фирми да създават и управляват онлайн магазини. Към 2024 г. тя се използва от приблизително 300 000 онлайн магазина по целия свят.

Добавката pkfacebook на Promokit е модул, който позволява на посетителите на магазина да влизат в него, използвайки своите акаунти във Facebook, да оставят коментари под страниците на магазина и да комуникират с агентите по поддръжката, използвайки Messenger.

Promokit има над 12 500 продажби на пазара Envato, но модулът за Facebook се продава само чрез уебсайта на продавача и няма данни за броя на продажбите.

Критичният недостатък, проследен като CVE-2024-36680, представлява уязвимост при SQL инжекция в Ajax скрипта facebookConnect.php на pkfacebook, която позволява на отдалечени атакуващи да задействат SQL инжекция чрез HTTP заявки.

Анализаторите от TouchWeb откриха дефекта на 30 март 2024 г., но Promokit.eu заяви, че недостатъкът е отстранен „отдавна“, без да предостави доказателства.

По-рано тази седмица Friends-of-Presta публикуваха доказателство за концептуален експлойт за CVE-2024-36680 и предупредиха, че наблюдават активна експлоатация на бъга в дивата природа.

„Този експлойт се използва активно за разгръщане на уеб скимер за масова кражба на кредитни карти“, казва Friends-Of-Presta.

За съжаление разработчиците не са споделили последната версия с Friends-of-Presta, за да потвърдят дали недостатъкът е отстранен.

Friends-Of-Presta отбелязва, че всички версии трябва да се считат за потенциално засегнати и препоръчва следните мерки за намаляване на риска:

• Актуализирайте до най-новата версия на pkfacebook, която деактивира изпълнението на многозадачни заявки, дори и да не предпазва от SQL инжекция чрез клаузата UNION.
• Уверете се, че се използва pSQL, за да се избегнат уязвимостите Stored XSS, тъй като тя включва функция strip_tags за допълнителна сигурност.
• Променете префикса по подразбиране „ps_“ с по-дълъг, произволен префикс, за да подобрите сигурността, въпреки че тази мярка не е безотказна срещу висококвалифицирани атакуващи.
• Активирайте правилата OWASP 942 в защитната стена за уеб приложения (WAF).

Списъкът на NVD за CVE-2024-36680 определя всички версии от 1.0.1 и по-стари като уязвими. Последната версия, посочена в сайта на Promokit, обаче е 1.0.0, така че статусът на наличност на кръпката не е ясен.

Хакерите следят отблизо за недостатъци в SQL инжектирането, засягащи платформи на уеб магазини, тъй като те могат да бъдат използвани за получаване на административни привилегии, достъп до или промяна на данни в сайта, извличане на съдържанието на базата данни и пренаписване на SMTP настройките с цел отвличане на имейли.

Преди около две години PrestaShop издаде спешно предупреждение и гореща поправка срещу атаки, насочени към модули, уязвими на SQL инжектиране, за да се постигне изпълнение на код в набелязаните сайтове.