WooCommerce Social Login പ്ലഗിനിൽ ഒരു നിർണ്ണായകമായ ഓതന്റിക്കേഷൻ ബൈപാസ് (CVE-2026-8457) കണ്ടെത്തിയിരിക്കുന്നു. ഇത് അഡ്മിനിസ്ട്രേറ്റർമാർ ഉൾപ്പെടെയുള്ള ഏതൊരു WordPress അക്കൗണ്ടും ഹാക്ക് ചെയ്യാൻ ആക്രമണകാരികളെ അനുവദിക്കുന്നു. ഈ സുരക്ഷാ വീഴ്ചയ്ക്ക് CVSS സ്കോർ 9.8 ആണ്, ഇത് ഏറ്റവും ഉയർന്ന അപകടസാധ്യതയെ സൂചിപ്പിക്കുന്നു. പാസ്‌വേഡ്, ടു-ഫാക്ടർ കോഡ്, അല്ലെങ്കിൽ ഉപയോക്താവിന്റെ ഇടപെടൽ എന്നിവ ഇല്ലാതെ തന്നെ ഇത് ഉപയോഗപ്പെടുത്താൻ സാധിക്കും.

എന്തുകൊണ്ടാണ് ഈ പിഴവ് WordPress ഡെവലപ്പർമാരെ ബാധിക്കുന്നത്

WPWeb Elite പുറത്തിറക്കിയ WooCommerce Social Login, ഇ-കൊമേഴ്‌സ് സൈറ്റുകൾക്ക് ഉപഭോക്താക്കൾക്ക് Apple ഉപയോഗിച്ച് സൈൻ ഇൻ ചെയ്യാൻ സൗകര്യമൊരുക്കുന്നു. ഈ പ്ലഗിൻ WordPress യൂസർ സിസ്റ്റവുമായി നേരിട്ട് ബന്ധപ്പെട്ടിരിക്കുന്നതിനാൽ, ഇതിന്റെ ഓതന്റിക്കേഷൻ പ്രക്രിയയിലുണ്ടാകുന്ന ഒരു സുരക്ഷാ വീഴ്ച സൈറ്റിനെ മുഴുവനായി അപകടത്തിലാക്കാം. ഒരു വ്യാജ Apple id_token നിർമ്മിക്കുന്നതിലൂടെ ആക്രമണകാരിക്ക് നിലവിലുള്ള ഒരു അക്കൗണ്ട് കൈക്കലാക്കാനും, സൈറ്റിലെ ഉള്ളടക്കം, ഓർഡറുകൾ, ഉപഭോക്താക്കളുടെ വിവരങ്ങൾ എന്നിവയുടെ പൂർണ്ണ നിയന്ത്രണം നേടാനും സാധിക്കും.

ഇതൊരു ഒറ്റപ്പെട്ട പിഴവല്ല; കഴിഞ്ഞ രണ്ട് വർഷത്തിനുള്ളിൽ ഈ പ്ലഗിൻ കുടുംബത്തിൽ കണ്ടെത്തിയ മൂന്നാമത്തെ പ്രധാന ഓതന്റിക്കേഷൻ പിഴവാണിത്. തേർഡ് പാർട്ടി ടോക്കണുകൾ പരിശോധിക്കുന്നതിൽ ആവർത്തിച്ചുണ്ടാകുന്ന പരാജയങ്ങൾ, ബാഹ്യ ക്രെഡൻഷ്യലുകളെ (external credentials) കോഡ് കൈകാര്യം ചെയ്യുന്ന രീതിയിലുള്ള ഒരു വ്യവസ്ഥാപിത പ്രശ്നത്തെ സൂചിപ്പിക്കുന്നു.

ഈ ബൈപാസ് എങ്ങനെ പ്രവർത്തിക്കുന്നു

  1. Apple token handling – ഒരു സന്ദർശകൻ “Sign in with Apple” ക്ലിക്ക് ചെയ്യുമ്പോൾ, പ്ലഗിൻ ഒരു id_token സ്വീകരിക്കുന്നു. ഇത് ഉപയോക്താവിന്റെ ഇമെയിൽ ഉൾപ്പെടെയുള്ള വിവരങ്ങൾ അടങ്ങിയ ഒരു JSON Web Token (JWT) ആണ്.
  2. Missing signature verification – പ്ലഗിൻ JWT ഡീകോഡ് ചെയ്യുന്നുണ്ടെങ്കിലും, ആ ടോക്കൺ Apple നൽകിയതാണെന്ന് തെളിയിക്കുന്ന ക്രിപ്റ്റോഗ്രാഫിക് സിഗ്നേച്ചർ (cryptographic signature) പരിശോധിക്കുന്നില്ല.
  3. No issuer, audience, or expiration checks – ടോക്കൺ പുറപ്പെടുവിച്ച ആൾ (issuer), അത് ആർക്ക് വേണ്ടിയുള്ളതാണ് (audience), അതിന്റെ കാലാവധി (expiration time) എന്നിവ പരിശോധിക്കുന്നതിൽ പ്ലഗിൻ വീഴ്ച വരുത്തുന്നു.

ഈ വീഴ്ചകൾ കാരണം, ആക്രമണകാരിക്ക് തങ്ങൾ ആഗ്രഹിക്കുന്ന ഏത് ഇമെയിൽ വിലാസവും ഉപയോഗിച്ച് ഒരു വ്യാജ JWT നിർമ്മിക്കാൻ കഴിയും. പ്ലഗിൻ ഈ ഇമെയിൽ ശരിയാണെന്ന് വിശ്വസിക്കുകയും യാതൊരു തെളിവുമില്ലാതെ ആ അക്കൗണ്ടിൽ ലോഗിൻ ചെയ്യുകയോ പുതിയ അക്കൗണ്ട് നിർമ്മിക്കുകയോ ചെയ്യുന്നു.

രണ്ടാമതൊരു പ്രശ്നം ഈ അപകടസാധ്യത വർദ്ധിപ്പിക്കുന്നു: പ്ലഗിൻ ഒരു സെക്യൂരിറ്റി നോൺസ് (security nonce) – റീപ്ലേ അറ്റാക്കുകൾ (replay attacks) തടയാൻ ഉപയോഗിക്കുന്ന ഒരു വാല്യൂ – ഓതന്റിക്കേഷൻ ഇല്ലാത്ത സന്ദർശകർക്കും ലഭ്യമാക്കുന്നു. ഇത് ഒരു യഥാർത്ഥ ലോഗിൻ പ്രക്രിയ ആവശ്യമില്ലാതെ തന്നെ, ഒരു സ്ക്രിപ്റ്റ് ഉപയോഗിച്ച് മുഴുവൻ പ്രക്രിയയും എളുപ്പത്തിൽ ചെയ്യാൻ ആക്രമണകാരിയെ സഹായിക്കുന്നു.

ആർക്കൊക്കെയാണ് അപകടസാധ്യതയുള്ളത്

  • WooCommerce ഉപയോഗിക്കുന്ന സൈറ്റ് ഉടമകൾ – Apple ലോഗിൻ പ്ലഗിൻ ഇൻസ്റ്റാൾ ചെയ്തതും പ്രവർത്തനക്ഷമമാക്കിയതുമായ എല്ലാ സൈറ്റുകളും അപകടത്തിലായേക്കാം.
  • ഡെവലപ്പർമാരും ഏജൻസികളും – ഒന്നിലധികം ക്ലയന്റ് സൈറ്റുകൾ കൈകാര്യം ചെയ്യുന്നവർക്ക് ഡസൻ കണക്കിന് ഇൻസ്റ്റാളേഷനുകൾ അപകടത്തിലായേക്കാം.
  • ഉപഭോക്താക്കൾ – ഒരു ആക്രമണകാരിക്ക് അഡ്മിൻ ആക്സസ് ലഭിച്ചാൽ, അവർക്ക് ഓർഡർ വിവരങ്ങൾ വായിക്കാനോ മാറ്റം വരുത്താനോ ഡിലീറ്റ് ചെയ്യാനോ സാധിക്കും, ഇത് വ്യക്തിഗത വിവരങ്ങളും പേയ്‌മെന്റ് വിവരങ്ങളും വെളിപ്പെടുത്താൻ കാരണമായേക്കാം.

നിങ്ങളുടെ സൈറ്റിനെ സംരക്ഷിക്കാൻ ഉടൻ ചെയ്യേണ്ട കാര്യങ്ങൾ

  1. വെർഷൻ 2.8.8-ലേക്ക് അപ്‌ഡേറ്റ് ചെയ്യുക – ഏറ്റവും പുതിയ പതിപ്പിൽ ഇതിനുള്ള പരിഹാരം ഉൾപ്പെടുത്തിയിട്ടുണ്ട്, ഇത് CodeCanyon-ൽ ലഭ്യമാണ്. പ്രീമിയം പ്ലഗിനുകൾക്ക് WordPress.org റെപ്പോസിറ്ററി വഴി ഓട്ടോമാറ്റിക് അപ്‌ഡേറ്റുകൾ ലഭിക്കില്ല, അതിനാൽ നിങ്ങൾ പുതിയ പാക്കേജ് നേരിട്ട് ഡൗൺലോഡ് ചെയ്ത് ഇൻസ്റ്റാൾ ചെയ്യണം.
  2. യൂസർ അക്കൗണ്ടുകൾ പരിശോധിക്കുക – ഓഗസ്റ്റ് 1, 2026-ന് ശേഷം നിർമ്മിക്കപ്പെട്ട അക്കൗണ്ടുകൾക്കായി (പ്രത്യേകിച്ച് അഡ്മിനിസ്ട്രേറ്റർ അധികാരമുള്ളവ) WordPress യൂസർ ടേബിൾ പരിശോധിക്കുക.
  3. സെർവർ ലോഗുകൾ പരിശോധിക്കുക – പ്ലഗിന്റെ സോഷ്യൽ-ലോഗിൻ എൻഡ്‌പോയിന്റുകളിലേക്ക് (endpoints) വരുന്ന അസാധാരണമായ റിക്വസ്റ്റുകൾ ശ്രദ്ധിക്കുക, ഉദാഹരണത്തിന് ഒരേ IP അഡ്രസ്സിൽ നിന്നുള്ള ആവർത്തിച്ചുള്ള ശ്രമങ്ങൾ അല്ലെങ്കിൽ തെറ്റായ JWT അടങ്ങിയ കോളുകൾ.
  4. താൽക്കാലിക പരിഹാരം – നിങ്ങൾക്ക് ഉടൻ തന്നെ അപ്‌ഡേറ്റ് ചെയ്യാൻ കഴിയില്ലെങ്കിൽ, പ്ലഗിൻ സെറ്റിംഗ്‌സിൽ Apple ലോഗിൻ ഡിസേബിൾ ചെയ്യുക. ഇത് അപ്‌ഗ്രേഡ് പ്ലാൻ ചെയ്യുന്ന സമയം വരെ ഏറ്റവും കൂടുതൽ ഉപയോഗിക്കപ്പെട്ടേക്കാവുന്ന സുരക്ഷാ വീഴ്ച ഒഴിവാക്കാൻ സഹായിക്കും.

ഡെവലപ്പർമാർക്ക് പഠിക്കാവുന്ന കാര്യങ്ങൾ

  • എപ്പോഴും JWT സിഗ്നേച്ചറുകൾ പരിശോധിക്കുക – ഏതൊരു വിവരവും വിശ്വസിക്കുന്നതിന് മുമ്പ് പ്രൊവൈഡറുടെ JSON Web Key Set (JWKS) എടുക്കുകയും ടോക്കണിന്റെ ക്രിപ്റ്റോഗ്രാഫിക് തെളിവ് പരിശോധിക്കുകയും ചെയ്യുക.
  • Issuer, audience, expiration എന്നിവ പരിശോധിക്കുക – ഈ ഫീൽഡുകൾ ടോക്കൺ നിങ്ങളുടെ സൈറ്റിന് വേണ്ടിയുള്ളതാണെന്നും അത് ഇപ്പോഴും സാധുതയുള്ളതാണെന്നും സ്ഥിരീകരിക്കുന്നു.
  • ഓതന്റിക്കേഷൻ നോൺസുകൾ (nonces) ഒരിക്കലും പരസ്യമായി വെളിപ്പെടുത്തരുത് – നോൺസുകൾ സെർവർ സൈഡിൽ നിർമ്മിക്കേണ്ടതും ഓതന്റിക്കേറ്റ് ചെയ്ത സെഷനുകൾക്ക് മാത്രം അയച്ചു കൊടുക്കേണ്ടതുമാണ്.
  • റോൾ അസൈൻമെന്റുകൾ നിയന്ത്രിക്കുക – സോഷ്യൽ-ലോഗിൻ പ്രക്രിയകൾ അധിക പരിശോധനകൾ ഇല്ലാതെ ഉയർന്ന അധികാരമുള്ള റോൾ (അഡ്മിനിസ്ട്രേറ്റർ പോലുള്ളവ) നൽകാൻ പാടില്ല.

വെണ്ടറുടെ പ്രതികരണം

WPWeb Elite പാച്ച് ചെയ്ത പതിപ്പ് പുറത്തിറക്കിയിട്ടുണ്ട്.

ഇനി ശ്രദ്ധിക്കേണ്ട കാര്യങ്ങൾ

പ്രധാന പാഠം: ഒരു സിഗ്നേച്ചർ പരിശോധനയിലെ ചെറിയ വീഴ്ച, സൗകര്യപ്രദമായ ഒരു “Sign in with Apple” ബട്ടണിനെ സൈറ്റ് പൂർണ്ണമായും കൈക്കലാക്കാൻ സഹായിക്കുന്ന ഒരു ബാക്ക്‌ഡോർ (backdoor) ആക്കി മാറ്റി. പ്ലഗിൻ അപ്‌ഡേറ്റ് ചെയ്യുക, സുരക്ഷാ വീഴ്ചയുള്ള ലോഗിൻ രീതി ഒഴിവാക്കുക, ടോക്കൺ പരിശോധന കർശനമാക്കുക എന്നിവയാണ് പരിഹാരം പൂർണ്ണമായി നടപ്പിലാക്കുന്നത് വരെ ചെയ്യാവുന്ന ഏക വിശ്വസനീയമായ പ്രതിരോധ മാർഗങ്ങൾ.