Home | | | Short News | | | Long News | | | Long Reads | | | Support | | | Library |
Брешь позволяла захватить любой сайт на базе WordPress, где были выставлены настройки по умолчанию.
Разработчики WordPress выпустили обновление безопасности 5.1.1, в состав которого вошли 14 исправлений безопасности. Они устраняют CSRF-уязвимость системы и упрощают переход на новые версии PHP.
Брешь позволяла потенциальным злоумышленникам использовать систему комментирования для захвата сайтов через XSS-атаку. Для этого им требовалось заманить авторизованного WordPress-администратора на страницу с эксплойтом. Вредоносный скрипт, выполнявшийся с помощью скрытого iframe-элемента, позволял злоумышленникам обойти систему проверки подлинности и оставлять комментарии от имени жертвы.
Поскольку администратор обладает расширенными полномочиями и может размещать HTML-теги вида <script> в своих комментариях, атакующие могли манипулировать текстом для выполнения произвольного JavaScript-кода. Запуск скрипта от лица жертвы также позволял злоумышленникам добиться выполнения PHP-кода в файлах тем оформления и плагинов.
«Эксплойт CSRF-уязвимости использует многочисленные логические изъяны и ошибки санитации, такое сочетание позволяет удаленно выполнить код и захватить сайт», — сообщил обнаруживший уязвимость ИБ-исследователь Саймон Скэннелл (Simon Scannell).
Он также отметил, что из-за такой цепочки заражения «злоумышленники могут захватить любой сайт на базе WordPress, где выставлены настройки по умолчанию». Наряду с тем, что жертва не замечает манипуляций злоумышленников, от нее не требуется каких-либо действий помимо перехода на вредоносный ресурс.
Разработчики призывают пользователей обновить CMS и отмечают, что все версии младше 5.1.1 содержат CSRF-уязвимость.
Другая брешь, позволяющая злоумышленникам выполнять сторонний код на захваченном сайте, недавно нашлась в плагине Abandoned Cart Lite For WooCommerce. Уязвимость в расширении для отслеживания недооформленных заказов также заключалась в недостаточной санитации данных. При регистрации фальшивых аккаунтов взломщики встраивали вредоносный скрипт в одно из полей с личной информацией, и, когда администратор открывал веб-панель, вредонос выполнял сторонний код для загрузки бэкдоров.
19:45 |
||
17:45 |
||
14:45 |
||
12:45 |
||
11:45 |
||
09:45 |
||
09:45 |
||
19:45 |
||
18:45 |
||
16:45 |
||
15:45 |
||
14:45 |
||
13:45 |
||
10:45 |
||
10:45 |
||
09:45 |
||
19:45 |
||
19:45 |
Home | | | Short News | | | Long News | | | Long Reads | | | Support | | | Library | | | Blogs | | | Links |