WooCommerce প্লাগইনের জন্য eMagicOne স্টোর ম্যানেজার ওয়ার্ডপ্রেসে রয়েছে যা সাধারণ WooCommerce অ্যাডমিন ইন্টারফেসে পাওয়া যায় না এমন কার্যকারিতা প্রদান করে স্টোর ব্যবস্থাপনাকে সহজ এবং উন্নত করতে ব্যবহৃত হয়।
WooCommerce WordPress প্লাগইনের জন্য eMagicOne স্টোর ম্যানেজারে দুটি গুরুতর ত্রুটি, CVE-2025-5058 এবং CVE-2025-4603 পাওয়া গেছে। 9-এর বেশি গুরুত্বপূর্ণ CVSS স্কোর থাকা। শুধুমাত্র কিছু পরিস্থিতিতে, যেমন 1:1 পাসওয়ার্ড সহ ডিফল্ট কনফিগারেশন বা আক্রমণকারী যদি বৈধ শংসাপত্র অর্জন করতে সক্ষম হয় তবে আক্রমণকারী দূরবর্তী কোড কার্যকর করে।
প্রভাবিত সংস্করণ:
- WooCommerce এর জন্য eMagicOne স্টোর ম্যানেজার * <=2.5
দুর্বলতার বিবরণ:
- সিভিই -2025-5058:
প্লাগইনের রিমোট ম্যানেজমেন্ট প্রোটোকল এন্ডপয়েন্ট (?connector=bridge), যা ফাইল আপলোড পরিচালনা করে, দুর্বল। setimage() এর অনুপযুক্ত ফাইল টাইপ যাচাইকরণ দুর্বলতার উৎস। সেশন কী সিস্টেম এবং ডিফল্ট শংসাপত্র (লগইন=১, পাসওয়ার্ড=১) প্রমাণীকরণ প্রক্রিয়া দ্বারা ব্যবহৃত হয়।
সেশন কী অধিগ্রহণ:
হ্যাশ এবং একটি টাস্ক (যেমন get_version) সহ ব্রিজ এন্ডপয়েন্টে একটি POST অনুরোধ পাঠানোর ফলে একটি সেশন কী পাওয়া যায়।
ইচ্ছামত ফাইল আপলোড:
একজন আক্রমণকারী set_image টাস্ক ব্যবহার করে একটি বৈধ সেশন কী সহ একটি ফাইল আপলোড করতে পারে, প্যারামিটারগুলি ব্যবহার করে তারা যে কোনও ফাইল লিখতে পারে।
বাস্তব-বিশ্বের পরিণতি:
এই ত্রুটি আক্রমণকারীদেরকে আপোস করা সাইটের সার্ভারে যেকোনো ফাইল আপলোড করার সুযোগ দেয়, যার ফলে রিমোট কোড এক্সিকিউশন হতে পারে। যখন ডিফল্ট শংসাপত্রগুলি অপরিবর্তিত রাখা হয়, তখন অপ্রমাণিত আক্রমণকারীরা এটি ব্যবহার করতে পারে, যা ক্ষতিকে খুব গুরুতর করে তোলে। একটি সফল শোষণের ফলে সম্পূর্ণ সার্ভারের ক্ষতি হতে পারে, আক্রমণকারীদের ব্যক্তিগত ডেটা অ্যাক্সেস, ক্ষতিকারক কোড চালানোর ক্ষমতা বা আরও বেশি ক্ষতি হতে পারে।
- সিভিই -2025-4603:
ওয়ার্ডপ্রেসের জন্য eMagicOne Store Manager for WooCommerce প্লাগইনের delete_file() ফাংশনটিতে পর্যাপ্ত ফাইল পাথ বৈধতার অভাব রয়েছে, যার ফলে এটি ইচ্ছামত ফাইল মুছে ফেলার ঝুঁকিতে পড়ে। এটি অননুমোদিত আক্রমণকারীদের সার্ভার থেকে যেকোনো ফাইল অপসারণ করতে সক্ষম করে, যার ফলে সঠিক ফাইল (যেমন wp-config.php) অপসারণ করা হলে সহজেই দূরবর্তী কোড কার্যকর হতে পারে। অপ্রমাণিত আক্রমণকারীরা ডিফল্ট ইনস্টলেশনে এর সুবিধা নিতে পারে।
প্লাগইনের রিমোট ম্যানেজমেন্ট প্রোটোকল এন্ডপয়েন্ট (?connector=bridge), যা ফাইল মুছে ফেলার কার্যক্রম পরিচালনা করে, দুর্বলতার উৎস। সেশন কী সিস্টেম এবং ডিফল্ট শংসাপত্র (login=1, password=1) প্রমাণীকরণ প্রক্রিয়া দ্বারা ব্যবহৃত হয়। ডিফল্ট প্রমাণীকরণ হ্যাশ, md5('1'. '1'), নিম্নরূপ গণনা করা হয়: c4ca4238a0b923820dcc509a6f75849b। একজন আক্রমণকারী একটি সেশন কী পাওয়ার পরে ওয়ার্ডপ্রেস রুট বা যেকোনো অ্যাক্সেসযোগ্য ডিরেক্টরি থেকে ইচ্ছামত ফাইলগুলি সরাতে delete_file টাস্ক ব্যবহার করতে পারে।
সেশন কী অধিগ্রহণ:
হ্যাশ এবং একটি টাস্ক (যেমন get_version) সহ ব্রিজ এন্ডপয়েন্টে একটি POST অনুরোধ পাঠানোর ফলে একটি সেশন কী পাওয়া যায়।
ইচ্ছামত ফাইল মুছে ফেলা:
যদি কোনও আক্রমণকারীর কাছে একটি বৈধ সেশন কী থাকে, তাহলে সে delete_file টাস্ক ব্যবহার করে ফাইল মুছে ফেলতে পারে।
বাস্তব-বিশ্বের পরিণতি:
যদি এই দুর্বলতা সফলভাবে কাজে লাগানো হয়, তাহলে wp-config.php এর মতো গুরুত্বপূর্ণ সার্ভার ফাইলগুলি মুছে ফেলা হতে পারে, যা সম্ভাব্যভাবে ওয়েবসাইটটিকে ব্যাহত করতে পারে এবং দূরবর্তী কোড কার্যকর করার অনুমতি দেয়। ইচ্ছামত ফাইলগুলি অপসারণের ক্ষমতা ওয়ার্ডপ্রেস ইনস্টলেশনের প্রাপ্যতা এবং অখণ্ডতাকে গুরুতরভাবে হুমকির মুখে ফেলে।
উভয় CVE-এর জন্য প্রতিরোধমূলক ব্যবস্থা।
- ডিফল্ট মান থেকে তাদের প্রমাণীকরণ শংসাপত্রগুলি অবিলম্বে আপডেট করুন।
- প্যাচ উপলব্ধ হওয়ার পরে প্লাগইনটিকে সর্বশেষ সংস্করণে আপডেট করার পরামর্শ দেওয়া হচ্ছে, তবে 1.2.5 সংস্করণটি ব্যবহার করা উচিত।
- CVE-2025-5058 এর জন্য কঠোর ফাইল আপলোড বৈধতা বাস্তবায়ন করুন।
- CVE-2025-5058 এর জন্য সার্ভার-সাইড ফাইল আপলোড অনুমতি পর্যালোচনা এবং সীমাবদ্ধ করুন।
উপসংহার:
CVE-2025-5058 এবং CVE-2025-4603 দেখায় যে কীভাবে ডিফল্ট কনফিগারেশনগুলি অযাচিত ডেটা এক্সপোজারের জন্য ভেক্টর হয়ে উঠতে পারে। অনুপযুক্ত ফাইল হ্যান্ডলিং এবং পর্যাপ্ত ফাইল পাথ বৈধতার অভাবের সুযোগ নিয়ে একজন আক্রমণকারী সাইটের সাথে আপস করতে পারে যার ফলে রিমোট কোড এক্সিকিউশন হতে পারে। অপ্রমাণিত আক্রমণকারীরা ডিফল্ট শংসাপত্রগুলি অপরিবর্তিত রেখে দিলে সেগুলির সুবিধা নিতে পারে, যা উল্লেখযোগ্য ক্ষতি করতে পারে।
