В расширении для WordPress обнаружили серьезную уязвимость

Брешь в плагине Duplicate Page, установленном на 800 тысячах сайтов, может привести к их угону.

Специалисты компании Sucuri нашли серьезную уязвимость в плагине Duplicate Page, установленном более чем на 800 тыс. сайтов под управлением WordPress. Брешь позволяет зарегистрированному пользователю с минимальными привилегиями осуществить внедрение стороннего SQL-кода и получить доступ к хеш-суммам паролей и другой конфиденциальной информации.

Как выяснили исследователи, расширение, предназначенное для быстрого создания копий страниц сайта, использует хук admin_action_, внедренный в ключевые элементы веб-ресурса. Обычно эту команду применяют для административных задач, и она требует строгого контроля валидности операции. В случае с Duplicate Page она вызывала метод dt_duplicate_post_as_draft, который мог получать сторонние SQL-инъекции через запросы типа $wpdb->get_results().

Проблема крылась в недостаточном контроле привилегий пользователя, который мог получить доступ к оператору. В результате создавались условия для внедрения стороннего кода или PHP-объекта в сгенерированный плагином дубликат. Как утверждают специалисты Sucuri, такая атака могла привести к полной компрометации веб-ресурса и перехвату управления сайтом.

Аналитики сообщили о своей находке авторам Duplicate Page 22 марта, и уже 1 апреля в официальном репозитории WordPress появилась версия плагина 3.4, где брешь была закрыта. ИБ-специалисты оценили уязвимость в 8,4 балла по шкале DREAD — альтернативе CVSS.

Ранее в поле зрение ИБ-специалистов попадал другой WordPress-плагин с аналогичным предназначением и похожим названием. В декабре 2017 года исследователи обнаружили бэкдор в расширении Duplicate Page and Post, установленном более 50 тыс. раз. Как выяснили аналитики, злоумышленники выкупили у автора разработку и снабдили ее вредоносным инжектом для размещения спам-ссылок на инфицированных сайтах.

Ваш голос учтён!

нравится

не нравится

Рейтинг:

0

Всего голосов: 0

Новые материалы в Разное:

RuStore открыл доступ иностранным разработчикам   // 08 февраля

CISA опубликовало декриптор в помощь жертвам шифровальщика ESXiArgs   // 08 февраля

Google обещает блюрить непристойные и жестокие картинки поиска   // 08 февраля

Бизнес предлагает продавать алкоголь по 2FA   // 08 февраля