Welcart 电子商务插件中的一个安全漏洞导致该站点被代码注入。研究人员表示，这可能会导致安装支付代码、网站崩溃或通过 SQL 注入访问信息。
Welcart Ecommerce 是一款免费的 WordPress 插件，安装量刚刚超过 20,000 次 - 根据 WordPress 的说法，它位居日本市场份额最高的玩家之列。它允许网站所有者在交钥匙的基础上将在线购物添加到他们的网站，可以选择销售实物商品、数字商品和订阅，以及 16 种不同的支付方式。
根据Wordfence的说法，该高危漏洞（CVE待定）是平台处理cookie方式中的PHP对象注入漏洞。
“它使用自己的 cookie（与 WordPress 使用的 cookie 不同）来跟踪用户会话，”研究人员在周四的一篇关于该漏洞的帖子中解释道。 “对站点的每个请求都会导致 get_cookie 函数解析 usces_cookie。此函数使用 usces_unserialize 来解码 cookie 的内容。”
进一步观察，研究人员发现可以使用usces_cookie 参数设置为一个特制的字符串，一旦反序列化，一个 PHP 对象将被注入。
PHP 对象注入是一种应用程序级漏洞，为代码注入、SQL 注入、路径遍历和应用程序拒绝服务铺平了道路。
根据 OSWAP 的说法：“如果用户提供的输入在传递给 unserialize() PHP 函数之前没有经过适当的过滤，就会出现此漏洞。” “由于 PHP 允许对象序列化，因此攻击者可以将临时序列化字符串传递给易受攻击的 unserialize() 调用，从而将任意 PHP 对象注入应用程序范围。”
研究人员补充说，PHP 对象注入可以通常在更大的漏洞利用链中使用，允许攻击者利用所谓的魔术方法，这将允许远程执行代码并完成站点接管。幸运的是，情况并非如此。
Wordfence 说：“该插件包含一个 tcpdf 库，其中包含 __destruct 魔术方法，可用于在其他情况下创建 POP 链。” “没有完整的 POP 链，因为插件在加载和定义 TCPDF 类之前未序列化 cookie，因此无法使用该类注入对象。”
Collne Inc.，出版商插件的问题，在10月份发布的Welcart 1.9.36版本中修复了这个问题。网站管理员应尽快升级。
插件问题
WordPress 插件继续为攻击网络犯罪分子提供便利的途径。
10 月，安装量超过 60,000 的 WordPress 插件 Post Grid 中发现了两个高危漏洞，为网站接管打开了大门。 9 月，Icegram 的电子邮件订阅者和时事通讯插件中的一个高危漏洞被发现影响了超过 100,000 个 WordPress 网站。
8 月初，一个旨在向 WordPress 网站添加测验和调查的插件修复了两个关键漏洞。未经身份验证的远程攻击者可以利用这些漏洞发起各种攻击，包括完全接管易受攻击的网站。同样在 8 月，安装量超过 300,000 的 WordPress 插件 Newsletter 被发现存在两个漏洞，这些漏洞可能导致代码执行甚至站点接管。
而且，在 7 月，研究人员警告称 WordPress 插件 Comments – wpDiscuz 存在严重漏洞，该插件已安装在 70,000 多个网站上。该漏洞允许未经身份验证的攻击者上传任意文件，包括 PHP 文件，并最终在易受攻击的网站服务器上执行远程代码。
