Суть уязвимости и механизм эксплуатации
Плагин WooCommerce Social Login упрощает вход и оформление заказа через учетные записи Facebook, Google, Amazon, PayPal и Apple. Функция входа через Apple стала источником проблемы. Уязвимость заключается в обработке "identity token", который Apple предоставляет при попытке входа. Токен содержит информацию о пользователе и должен быть защищен цифровой подписью, проверяемой публичными ключами Apple. Однако плагин не выполняет эту проверку.
Это позволяет злоумышленникам сконструировать поддельный токен, в payload которого указан email любого существующего пользователя на сайте. Плагин использует этот email для поиска и создания аутентифицированной сессии без проверки подлинности токена или исключения административных ролей. Атакующий мгновенно получает доступ к аккаунту жертвы. Это делает возможным вход под любым пользователем WordPress, включая администраторов, что приводит к полному захвату сайта.
Масштаб угрозы и рекомендуемые действия
Уязвимость классифицирована как критическая с рейтингом 9.8 из 10. Она затрагивает все версии плагина до 2.8.7 включительно. Публичное раскрытие информации состоялось 1 августа 2026 года. Для владельцев сайтов риск заключается в потенциальном взломе, компрометации данных магазина: информации о клиентах, заказах, платежных реквизитах и настройках.
Единственным способом защиты является немедленное обновление плагина. Разработчики выпустили патч в версии 2.8.8. Пользователям версий 2.8.7 и ниже необходимо обновить плагин до версии 2.8.8 или выше. Процедура стандартна: в админ-панели WordPress перейти в раздел "Плагины", найти WooCommerce Social Login и нажать "Обновить". Если автоматическое обновление не сработало, следует удалить старую версию и установить новую вручную из официального репозитория WordPress.org. После обновления нужно проверить журналы активности и пользователей на предмет подозрительных действий до установки патча.
Уязвимость, получившая идентификатор 584601, подчеркивает критическую важность проверки цифровых подписей в механизмах социального входа. Ее эксплуатация не требует специальных условий и может быть выполнена удаленно, что делает угрозу массовой. Плагин на момент обнаружения был установлен на тысячах сайтов, что увеличивало общую поверхность атаки. Отсутствие проверки токена Apple - фундаментальная ошибка, превращающая удобную функцию в открытую дверь. Рекомендация по обновлению до версии 2.8.8 является абсолютной необходимостью, так как более ранние версии не содержат исправления. Владельцам сайтов также стоит рассмотреть временное отключение функции входа через Apple до подтверждения успешного обновления. Постоянный мониторинг и своевременное применение исправлений остаются ключевыми практиками для поддержания безопасности любого веб-ресурса, особенно связанного с электронной коммерцией и данными пользователей.
