Les pirates exploitent une faille dans un module Facebook premium pour PrestaShop nommé pkfacebook pour déployer un skimmer de carte sur des sites de commerce électronique vulnérables et voler les détails des cartes de crédit des gens.

PrestaShop est une plateforme de commerce électronique open source qui permet aux particuliers et aux entreprises de créer et de gérer des boutiques en ligne. En 2024, il est utilisé par environ 300 000 boutiques en ligne dans le monde.

Kit promotionnel module complémentaire pkfacebook est un module qui permet aux visiteurs de la boutique de se connecter en utilisant leurs comptes Facebook, de laisser des commentaires sous les pages de la boutique et de communiquer avec les agents d'assistance via Messenger.

Le kit promotionnel a terminé 12 500 ventes sur le marché Envato, mais le module Facebook n'est vendu que sur le site Web du fournisseur et aucun détail sur le numéro de vente n'est disponible.

La faille critique, suivie comme CVE-2024-36680est une vulnérabilité d'injection SQL dans le script Ajax facebookConnect.php de pkfacebook, permettant à des attaquants distants de déclencher une injection SQL à l'aide de requêtes HTTP.

Les analystes de TouchWeb ont découvert la faille le 30 mars 2024, mais Promokit.eu a déclaré que la faille avait été corrigée « il y a longtemps », sans fournir aucune preuve.

Plus tôt cette semaine, les Amis de Presta ont publié un exploit de preuve de concept pour CVE-2024-36680 et ont averti qu'ils assistaient à une exploitation active du bug dans la nature.

« Cet exploit est activement utilisé pour déployer un skimmer Web afin de voler massivement des cartes de crédit », explique Amis de Presta.

Malheureusement, les développeurs n'ont pas partagé la dernière version avec Friends-of-Presta pour confirmer si la faille a été corrigée.

Friends-Of-Presta note que toutes les versions doivent être considérées comme potentiellement impactées et recommande les mesures d'atténuation suivantes :

• Mettez à niveau vers la dernière version de pkfacebook, qui désactive les exécutions multirequêtes, même si elle ne protège pas contre l'injection SQL à l'aide de la clause UNION.
• Assurez-vous que pSQL est utilisé pour éviter les vulnérabilités XSS stockées, car il inclut une fonction strip_tags pour plus de sécurité.
• Modifiez le préfixe « ps_ » par défaut en un préfixe plus long et arbitraire pour améliorer la sécurité, bien que cette mesure ne soit pas infaillible contre les attaquants hautement qualifiés.
• Activez les règles OWASP 942 sur le Web Application Firewall (WAF).

La liste NVD pour CVE-2024-36680 détermine que toutes les versions à partir de la version 1.0.1 sont vulnérables. Cependant, la dernière version répertoriée sur le site de Promokit est la 1.0.0, l'état de disponibilité des correctifs n'est donc pas clair.

Les pirates surveillent de près les failles d'injection SQL affectant les plateformes de boutique en ligne, car celles-ci peuvent être utilisées pour obtenir des privilèges administratifs, accéder ou modifier des données sur le site, extraire le contenu de la base de données et réécrire les paramètres SMTP pour détourner les e-mails.

Il y a environ deux ans, PrestaShop a publié un avertissement urgent et un correctif contre les attaques ciblant les modules vulnérables à l'injection SQL pour réaliser l'exécution de code sur les sites ciblés.