WooCommerce Social Login પ્લગઇનમાં એક ગંભીર ઓથેન્ટિકેશન બાયપાસ (CVE-2026-8457) જાહેર કરવામાં આવ્યો છે, જે હુમલાખોરોને કોઈપણ WordPress એકાઉન્ટ – એડમિનિસ્ટ્રેટર્સ સહિત – હાઇજેક કરવાની મંજૂરી આપે છે. આ નબળાઈનો CVSS સ્કોર 9.8 છે, જે ગંભીરતા માટેનું સર્વોચ્ચ સ્તર છે, અને તેનો ઉપયોગ પાસવર્ડ, ટુ-ફેક્ટર કોડ અથવા કોઈપણ યુઝર ઇન્ટરેક્શન વગર કરી શકાય છે.

WordPress ડેવલપર્સ માટે આ ખામી શા માટે મહત્વની છે

WPWeb Elite દ્વારા પ્રકાશિત WooCommerce Social Login, ઈ-કોમર્સ સાઇટ્સને ગ્રાહકોને Apple સાથે સાઇન-ઇન કરવાની સુવિધા આપે છે. કારણ કે આ પ્લગઇન સીધું WordPress યુઝર સિસ્ટમ સાથે જોડાયેલું છે, તેના ઓથેન્ટિકેશન ફ્લોમાં કોઈપણ ખામી આખી સાઇટને જોખમમાં મૂકી શકે છે. એક હુમલાખોર જે Apple id_token ની બનાવટ કરે છે, તે અસ્તિત્વ ધરાવતા એકાઉન્ટ પર કબજો કરી શકે છે, જેનાથી તેમને સાઇટના કન્ટેન્ટ, ઓર્ડર્સ અને ગ્રાહક ડેટા પર સંપૂર્ણ નિયંત્રણ મળી જાય છે.

આ સમસ્યા માત્ર એક સામાન્ય ભૂલ નથી; છેલ્લા બે વર્ષમાં આ પ્લગઇન ફેમિલીમાં મળી આવેલી ત્રીજી મોટી ઓથેન્ટિકેશન ખામી છે. થર્ડ-પાર્ટી ટોકન્સને વેરિફાય કરવામાં વારંવાર થતી નિષ્ફળતા સૂચવે છે કે કોડ કેવી રીતે એક્સટર્નલ ક્રેડેન્શિયલ્સ સાથે વ્યવહાર કરે છે તેમાં સિસ્ટમિક સમસ્યા છે.

બાયપાસ કેવી રીતે કામ કરે છે

  1. Apple token handling – જ્યારે કોઈ વિઝિટર “Sign in with Apple” પર ક્લિક કરે છે, ત્યારે પ્લગઇન id_token મેળવે છે, જે એક JSON Web Token (JWT) છે જેમાં યુઝરનું ઇમેઇલ અને અન્ય ક્લેમ્સ (claims) હોય છે.
  2. Missing signature verification – પ્લગઇન JWT ને ડિકોડ કરે છે પરંતુ ક્યારેય તે ક્રિપ્ટોગ્રાફિક સિગ્નેચર ચેક કરતું નથી જે સાબિત કરે છે કે ટોકન Apple દ્વારા જ ઇશ્યૂ કરવામાં આવ્યું છે.
  3. No issuer, audience, or expiration checks – તે ટોકનના ઇશ્યુઅર (તેણે કોણે બનાવ્યું), ઓડિયન્સ (તે કોના માટે છે), અને એક્સપાયરેશન સમયના વેરિફિકેશનને પણ સ્કીપ કરે છે.

આ ક્ષતિઓને કારણે, એક હુમલાખોર નકલી JWT બનાવી શકે છે જે કોઈપણ પસંદ કરેલા ઇમેઇલ એડ્રેસનો દાવો કરે છે. પ્લગઇન ડિકોડ કરેલા ઇમેઇલને અસલી માની લે છે અને કોઈપણ પુરાવા વિના સંબંધિત WordPress યુઝર બનાવે છે અથવા તેમાં લોગ-ઇન કરે છે.

બીજી સમસ્યા જોખમને વધારે છે: પ્લગઇન સિક્યુરિટી નોન્સ (security nonce) – જે રીપ્લે એટેકને રોકવા માટે વપરાતું વન-ટાઇમ વેલ્યુ છે – તેને અન-ઓથેન્ટિકેટેડ વિઝિટર્સ માટે ખુલ્લું મૂકે છે. આનાથી હુમલાખોર માટે કોઈ કાયદેસરના લોગિન ફ્લોને ટ્રિગર કર્યા વિના આખી પ્રક્રિયાને સ્ક્રિપ્ટ બનાવવી અત્યંત સરળ બની જાય છે.

કોણ જોખમમાં છે

  • WooCommerce ચલાવતા સાઇટ માલિકો – જે કોઈપણ સાઇટ પર આ પ્લગઇન ઇન્સ્ટોલ કરેલું છે અને Apple લોગિન માટે સક્ષમ (enabled) છે તે જોખમમાં છે.
  • ડેવલપર્સ અને એજન્સીઓ – જેઓ અનેક ક્લાયન્ટ સાઇટ્સનું સંચાલન કરે છે, તેમની ડઝનબંધ ઇન્સ્ટોલેશન જોખમમાં હોઈ શકે છે.
  • ગ્રાહકો – જો હુમલાખોર એડમિન એક્સેસ મેળવી લે છે, તો તેઓ ઓર્ડર ડેટા વાંચી શકે છે, તેમાં ફેરફાર કરી શકે છે અથવા તેને ડિલીટ કરી શકે છે, જેનાથી વ્યક્તિગત અને પેમેન્ટ માહિતી જાહેર થવાનું જોખમ રહે છે.

તમારી સાઇટને સુરક્ષિત કરવા માટે તાત્કાલિક પગલાં

  1. વર્ઝન 2.8.8 પર અપડેટ કરો – આ ફિક્સ લેટેસ્ટ રિલીઝમાં સામેલ છે, જે CodeCanyon પર ઉપલબ્ધ છે. પ્રીમિયમ પ્લગઇન્સ WordPress.org રિપોઝિટરી દ્વારા ઓટોમેટિક અપડેટ્સ મેળવતા નથી, તેથી તમારે નવું પેકેજ મેન્યુઅલી ડાઉનલોડ અને ઇન્સ્ટોલ કરવું પડશે.
  2. યુઝર એકાઉન્ટ્સનું ઓડિટ કરો – WordPress યુઝર ટેબલમાં 1 ઓગસ્ટ, 2026 પછી બનાવેલા એકાઉન્ટ્સ શોધો, ખાસ કરીને એડમિનિસ્ટ્રેટર પ્રિવિલેજ ધરાવતા એકાઉન્ટ્સ.
  3. સર્વર લોગ્સની સમીક્ષા કરો – પ્લગઇનના social-login એન્ડપોઇન્ટ્સ પર અસામાન્ય વિનંતીઓ તપાસો, જેમ કે એક જ IP એડ્રેસ પરથી વારંવાર આવતી વિનંતીઓ અથવા ખોટી રીતે બનાવેલા (malformed) JWT ધરાવતા કોલ્સ.
  4. કામચલાઉ ઉપાય – જો તમે તરત જ અપડેટ કરી શકતા નથી, તો પ્લગઇનની સેટિંગ્સમાં Apple લોગિનને ડિસેબલ કરો. આનાથી તમે અપગ્રેડનું આયોજન કરી રહ્યા હોવ ત્યાં સુધી સૌથી વધુ જોખમી રસ્તો બંધ થઈ જશે.

ડેવલપર્સ શું શીખી શકે છે

  • હંમેશા JWT સિગ્નેચર વેરિફાય કરો – કોઈપણ ક્લેમ પર વિશ્વાસ કરતા પહેલા પ્રોવાઇડરનો JSON Web Key Set (JWKS) મેળવો અને ટોકનના ક્રિપ્ટોગ્રાફિક પુરાવાને વેરિફાય કરો.
  • ઇશ્યુઅર, ઓડિયન્સ અને એક્સપાયરેશન ચેક કરો – આ ફિલ્ડ્સ પુષ્ટિ કરે છે કે ટોકન તમારી સાઇટ માટે છે અને હજુ પણ માન્ય છે.
  • ઓથેન્ટિકેશન નોન્સને ક્યારેય પબ્લિકલી એક્સપોઝ ન કરો – નોન્સ સર્વર-સાઇડ પર જનરેટ થવા જોઈએ અને ફક્ત ઓથેન્ટિકેટેડ સેશન્સને જ મોકલવા જોઈએ.
  • રોલ એસાઇનમેન્ટ પર પ્રતિબંધ મૂકો – સોશિયલ-લોગિન ફ્લોએ વધારાના વેરિફિકેશન સ્ટેપ્સ વગર ક્યારેય હાઇ-પ્રિવિલેજ રોલ્સ (જેમ કે એડમિનિસ્ટ્રેટર) આપવા જોઈએ નહીં.

વેન્ડરનો પ્રતિસાદ

WPWeb Elite એ પેચ કરેલ વર્ઝન રિલીઝ કર્યું છે.

આગળ શું ધ્યાન રાખવું

મુખ્ય વાત: એક જ સિગ્નેચર ચેક ખૂટવાને કારણે એક સુવિધાજનક “Sign in with Apple” બટન આખી સાઇટ પર કબજો કરવા માટેના બેકડોર (backdoor) માં ફેરવાઈ ગયું. જ્યાં સુધી ફિક્સ વ્યાપકપણે લાગુ ન થાય ત્યાં સુધી પ્લગઇન અપડેટ કરવું, નબળા લોગિન પદ્ધતિને ડિસેબલ કરવી અને ટોકન વેરિફિકેશનને મજબૂત બનાવવું એ જ એકમાત્ર વિશ્વસનીય બચાવ છે.