প্লাগইন নাম: ডেটা প্রাইভেসি এক্সটেন্ডেড (ডেটা প্রোটেকশন ল) – GDPR মডিউল
দুর্বলতার নাম: CSRF (ক্রস-সাইট রিকোয়েস্ট ফোরজারি) "ডিলিট অ্যাকাউন্ট"-এ প্রভাবিত প্রেস্টাশপ ভার্সন: v1.6.0.4 – v1.7.6.0 দুর্বল ভার্সন: <3.7.8 প্যাচ করা ভার্সন: 3.7.8 দুর্বলতা রিপোর্ট করা: ২০ জুন ২০১৯ দুর্বলতা প্যাচ করা: ২৫ জুন ২০১৯ আস্ট্রার একটি প্রেস্টাশপ ক্লায়েন্টের সিকিউরিটি ऑডিট করার সময়, আমি প্রেস্টাশপ মডিউলে একটি ক্রিটিক্যাল CSRF (ক্রস-সাইট রিকোয়েস্ট ফোরজারি) দুর্বলতা আবিষ্কার করলাম, ডেটা প্রাইভেসি এক্সটেন্ডেড (Innovadeluxe দ্বারা ডেভেলপড)। এর বর্তমানে ২৫০০+ সক্রিয় ইনস্টলেশন আছে। এই দুর্বলতার কারণে, একটি অনন্টিকেশনেড ইউজার একটি অথেন্টিকেটেড প্রেস্টাশপ ইউজারের অ্যাকাউন্ট ডিলিট করতে পারতো তাকে 웹-এ ম্যালিশিয়াস লিংক খুলতে ভুলাবিয়ে।
একটি চিন্তাশীল এবং দায়িত্বশীল সিকিউরিটি কোম্পানি হিসেবে, আস্ট্রা অবিলম্বে ডেভেলপারদের কাছে দুর্বলতা রিপোর্ট করল। Innovadeluxe-এর ডেভেলপাররা দ্রুত প্রতিক্রিয়া জানাল এবং তাদের কার্যক্রমে প্রম্পট ছিলেন। তারা দুর্বলতা প্যাচ করল এবং আপডেটেড ভার্সন 3.7.8 ২৫ জুন ২০১৯-এ রিলিজ করল।
দুর্বলতার বিবরণ:
ডেটা প্রাইভেসি এক্সটেন্ডেড মডিউল প্রেস্টাশপ ওয়েবসাইটগুলোকেও GDPR-র সাথে আরও সারিবদ্ধ করার জন্য পরিচিত। এর ফিচার আছে নিউজলেটার সাবস্ক্রিপশন ফর্ম, কন্ট্যাক্ট ফর্ম, রেজিস্টার ফর্মে প্রাইভেসি কনসেন্ট আবশ্যক করা, ইত্যাদি। প্লাস, এটি কাস্টমারদের তাদের অ্যাকাউন্ট ডিলিট করার অনুমতি দেয় যদি প্লেসড অর্ডারগুলির জন্য সঠিক ইনভয়েস না থাকে। তাই, ডিলিট অ্যাকাউন্ট URL/API এন্ডপয়েন্ট CSRF (ক্রস-সাইট রিকোয়েস্ট ফোরজারি) এর জন্য দুর্বল ছিল, যা একটি হ্যাকারকে একটি লগইন করা ইউজারকে তার প্রেস্টাশপ অ্যাকাউন্ট ডিলিট করতে বাধ্য করতে পারতো শুধু একটি ম্যালিশিয়াল URL/ওয়েব পেজ ভিজিট করালে।
টেকনিক্যাল বিবরণ:
এখানে একটি প্রুফ অফ কনসেপ্ট দেওয়া হলো যা চিত্রায়ন করে কীভাবে দুর্বলতা শোষিত হতে পারতো,
আপনি কী করতে পারেন:
CSRF আক্রমণ ভয়াবহ; সেগুলো একটি আক্রমণকারীকে আপনার ওয়েবসাইটের সংবেদনশীল ইনফরমেশন যেমন ক্রেডিট কার্ড ডিটেইলস, গোপন ডাটাবেস, অ্যাডমিন অ্যাকাউন্ট ইত্যাদি দখল করতে দেয়। কিন্তু, আগে থেকে প্রস্তুত থাকা আপনার ওয়েবসাইটে এই ধরনের চেষ্টা ডিফ্লেক্ট করতে সাহায্য করতে পারে। নিচে কিছু উপায় দেওয়া হলো যেগুলো আপনার ওয়েবসাইট রক্ষা করতে পারেন:
১) লেটেস্ট ভার্সনে আপডেট করুন
প্লাগইন ডেভেলপাররা প্যাচ করা ভার্সন প্রেস্টাশপে আপডেট করে রিলিজ করেছেন। আপনি যদি এখনও আপডেটেড এবং সুরক্ষিত ভার্সন (3.7.8) এ যাননি, তবে এখনই আপডেট করুন। এর পাশাপাশি, আপনি যদি CMS-এর পুরনো ভার্সন ব্যবহার করছেন, তবে সেটিও আপডেট করুন।
২) একটি ফায়ারওয়ালে বিনিয়োগ করুন
একটি ফায়ারওয়াল আপনার ওয়েবসাইটের ওপর একটি প্রোটেক্টিভ লেয়ার লিভারেজ করে। একটি ভালো ওয়েব অ্যাপ্লিকেশন ফায়ারওয়ালে বিনিয়োগ করা আপনাকে বাড়তি সিকিউরিটি, কম সমস্যা, মূলত বিনিয়োগে উচ্চ রিটার্ন দিতে পারে। একটি ऐसा প্রিমিয়াম ফায়ারওয়াল হলো আস্ট্রা ফায়ারওয়াল।
এটি CSRF, SQLi, XSS, ব্যাড বটস, OWASP TOP 10 এবং ১০০+ অন্যান্য আসন্ন হুমকি আপনার ওয়েবসাইটে ব্লক করে। একটি ফায়ারওয়াল আপনার ওয়েবসাইটের জন্য একটি চলন্ত ও ব্যাপক মনিটরিং সিস্টেমও প্রদান করে।
আপনার ওয়েবসাইট রক্ষা করতে এখানে ক্লিক করুন।
