Оновлення безпеки WooCommerce Stripe Gateway: версії 11.2.0 та 11.1.2

Деталі оновлення та виправлені вразливості

Команда розробників WooCommerce випустила термінові оновлення безпеки для розширення WooCommerce Stripe Gateway. Власникам інтернет-магазинів необхідно оновити плагін до версії 11.2.0 або перевести сайт на гілку 11.1.2, якщо потрібна сумісність із попередніми конфігураціями. Виправлення стосуються проблем безпеки, які вдалося виявити під час проактивного внутрішнього сканування Automattic, а також за результатами звернень сторонніх осіб. За інформацією розробників, наразі немає жодних доказів того, що ці вразливості використовувалися зловмисниками на практиці. Найбільш серйозні проблеми потенційно могли призвести до шахрайських покупок.

Проблема зі збереженням паролів

Окрема увага приділена помилці, пов'язаній зі збереженням паролів нових користувачів у звичайному текстовому форматі (plain text) у даних замовлення. Це відбувалося за одночасного дотримання кількох умов: магазин використовував версію 10.9.0, застосовував класичне оформлення замовлення з кнопками Stripe Express Checkout, а покупець створював акаунт під час оплати через Apple Pay або Google Pay. Такі паролі ставали доступними адміністраторам і менеджерам через екран деталей замовлення, WP-CLI чи REST API. Версія 10.9.1 припинила подібне збереження, а починаючи з 11.1.0 плагін автоматично видаляє такі дані у фоновому режимі після оновлення, надсилаючи сповіщення адміністратору сайту.

Вимоги до сумісності та інструкції з інсталяції

Для встановлення актуальних версій плагіна 11.1.2 та 11.2.0 сайт має працювати на WordPress 6.9 та WooCommerce 11.0. Перед проведенням оновлень адміністраторам варто перевірити сумісність системного середовища. Перевірку встановленої версії слід здійснювати безпосередньо в адміністративній панелі WordPress у розділі плагінів. У разі потреби залишатися на гілці 11.1.x та завантаження версії 11.1.2 вручну через каталог плагінів WordPress.org потрібно скористатися функцією завантаження ZIP-архіву та підтвердити заміну поточного плагіна. Розробникам та агенціям рекомендується перевірити кожен кешований чи публічно доступний тестовий і робочий сайт.

Що це означає на практиці

Власникам інтернет-магазинів і фахівцям з підтримки варто негайно перевірити актуальну версію WooCommerce Stripe Gateway на всіх кешованих і робочих сайтах. Необхідно оновити плагін до версій 11.2.0 або 11.1.2, попередньо переконавшись у сумісності з WordPress 6.9 та WooCommerce 11.0. Також слід перевірити резервні копії та експорти замовлень на наявність збережених текстових паролів і за потреби порекомендувати клієнтам змінити облікові дані.