آسیب‌پذیری افزونه Funnel Builder تحت بهره‌برداری فعال برای سرقت اطلاعات پرداخت در WooCommerce

یک آسیب‌پذیری امنیتی حیاتی در افزونه Funnel Builder برای وردپرس (WordPress) به‌طور فعال مورد بهره‌برداری قرار گرفته است. این نقص که تمام نسخه‌های پیش از ۳.۱۵.۰.۳ را تحت تأثیر قرار می‌دهد و در بیش از ۴۰,۰۰۰ فروشگاه WooCommerce استفاده می‌شود، به مهاجمان احراز هویت‌نشده اجازه می‌دهد کدهای مخرب جاوااسکریپت (JavaScript) را به تمام صفحات پرداخت تزریق کنند. شرکت امنیتی هلندی Sansec که جزئیات این فعالیت را منتشر کرده، اعلام کرد مهاجمان با جاسازی اسکریپت‌های جعلی Google Tag Manager در تنظیمات افزونه، یک ابزار سرقت اطلاعات پرداخت (payment skimmer) را مستقر می‌کنند که شماره کارت‌های اعتباری، کدهای CVV و آدرس‌های صورت‌حساب را به سرقت می‌برد. این آسیب‌پذیری هنوز شناسه رسمی CVE دریافت نکرده، اما توسعه‌دهنده افزونه، FunnelKit، وصله امنیتی را در نسخه ۳.۱۵.۰.۳ منتشر کرده است.

بر اساس یافته‌های Sansec، نسخه‌های قدیمی‌تر این افزونه دارای یک نقطه پایانی (endpoint) عمومی بودند که هیچ‌گونه بررسی مجوز یا محدودیتی برای متدهای قابل فراخوانی نداشت؛ این ضعف به مهاجم امکان می‌داد داده‌های دلخواه را مستقیماً در تنظیمات سراسری افزونه بنویسد. در حداقل یک مورد مشاهده‌شده، کد مخرب با ظاهر یک بارگذار Google Tag Manager، یک اتصال WebSocket به سرور فرمان‌ودهی (C2) مهاجم برقرار می‌کرد تا ابزار سرقت اطلاعات را دریافت کند. به گفته Sansec، «پنهان کردن ابزارهای سرقت در قالب کدهای Google Analytics یا Tag Manager یک الگوی تکراری در حملات Magecart است.» به مدیران سایت توصیه می‌شود افزونه را به آخرین نسخه به‌روزرسانی کرده و بخش تنظیمات اسکریپت‌های خارجی را برای شناسایی موارد مشکوک بررسی کنند.