اسکیمر WebRTC با دور زدن CSP، داده‌های پرداختی سایت‌های تجارت الکترونیک را سرقت می‌کند

محققان امنیت سایبری یک اسکیمر پرداخت (payment skimmer) جدید کشف کرده‌اند که از کانال‌های داده WebRTC برای دریافت بارگذاری مخرب و استخراج اطلاعات استفاده می‌کند و به این ترتیب کنترل‌های امنیتی از جمله سیاست‌های امنیت محتوا (Content Security Policy) را دور می‌زند. این بدافزار که وب‌سایت تجارت الکترونیک یک خودروساز را هدف قرار داده، از طریق آسیب‌پذیری جدیدی به نام PolyShell در Magento Open Source و Adobe Commerce منتشر شده است؛ این آسیب‌پذیری به مهاجمان احراز هویت‌نشده اجازه می‌دهد از طریق REST API فایل‌های اجرایی دلخواه آپلود کرده و به اجرای کد دست یابند. شرکت امنیتی هلندی Sansec اعلام کرد که حملات PolyShell در ۵۶.۷ درصد از تمام فروشگاه‌های آسیب‌پذیر شناسایی شده و از ۱۹ مارس ۲۰۲۶ بیش از ۵۰ آدرس IP در فعالیت‌های اسکن این آسیب‌پذیری شرکت داشته‌اند.

تیم Assetnote از شرکت Searchlight Cyber جزئیات فنی بیشتری درباره PolyShell منتشر کرد و اعلام نمود ریشه این آسیب‌پذیری در تابعی به نام ()ImageProcessor::processImageContent قرار دارد که فاقد اعتبارسنجی تطابق پسوند فایل با نوع MIME است و به مهاجم امکان آپلود یک پوسته چندشکلی (polyglot shell) را می‌دهد. ادوبی (Adobe) در نسخه ۲.۴.۹-beta1 که در ۱۰ مارس ۲۰۲۶ منتشر شد، وصله‌ای برای این آسیب‌پذیری ارائه داده، اما این اصلاح هنوز به نسخه‌های تولیدی نرسیده است. به مدیران سایت توصیه می‌شود دسترسی به پوشه «pub/media/custom_options/» را مسدود کرده و فروشگاه‌های خود را از نظر وجود وب‌شل (web shell)، درب پشتی (backdoor) و سایر بدافزارها بررسی کنند.