【安全资讯】PrestaShop模块漏洞导致信用卡数据泄露

概要：

近日，知名PrestaShop模块“Facebook”（pkfacebook）被发现存在严重漏洞（CVE-2024-36680），该漏洞正被网络犯罪分子利用来部署网络钓鱼程序并窃取信用卡数据。该漏洞的CVSS评分高达9.8，表明其危害性极高。

主要内容：

该漏洞存在于Facebook模块的facebookConnect.php脚本中，攻击者可以通过发送特制的HTTP请求来执行任意的SQL命令，从而获取敏感数据，包括客户信息、支付详情和管理凭证。所有版本的“Facebook”模块均受此漏洞影响，模块作者已确认问题但未提供具体受影响版本的信息，这使得所有用户必须立即采取行动。

威胁行为者正积极利用该漏洞部署网络钓鱼程序，这些恶意脚本旨在窃取结账时的信用卡信息，对电子商务商店及其客户构成重大风险，可能导致金融欺诈和身份盗窃。漏洞的概念验证（PoC）展示了一条简单的curl命令，攻击者可以通过该命令伪造SQL注入来操控数据库。

为了减轻风险，用户应立即升级到最新版本的pkfacebook模块。此外，禁用多查询执行、修改数据库前缀、激活Web应用防火墙（WAF）规则以及监控可疑活动都是有效的防护措施。然而，这些措施并不能完全消除风险，建议用户寻求专业网络安全人员的帮助。