Баг в WP Live Chat Support позволяет манипулировать чатами

Уязвимость позволяет неавторизованным злоумышленникам получать историю переписки и управлять текущими сессиями чатов.

ИБ-исследователи из Alert Logic обнаружили уязвимость в WordPress-плагине WP Live Chat Support. Баг позволяет неавторизованным злоумышленникам получать историю переписки с клиентами и управлять текущими сессиями чатов. Под угрозой оказались более 50 тыс. веб-сайтов, на которых уязвимый плагин используется для общения с посетителями. Администраторам ресурсов рекомендуется срочно обновить WP Live Chat Support.

Проблема возникает из-за некорректного процесса валидации данных пользователей. Ошибка в функции wplc_api_permission_check () позволяет преступникам без дополнительных привилегий и авторизации на веб-сайте получить доступ к конечным точкам REST API. Потенциальные злоумышленники могут воспользоваться этим багом, чтобы извлечь логи переписки, а также редактировать и вставлять сообщения в текущие сессии чатов. Таким образом они могут выдавать себя, например, за сотрудников компаний.

Исследователи из Alert Logic не обнаружили случаев эксплуатации уязвимости и считают, что она вряд ли активно использовалась преступниками. Ошибка наблюдается в 8.0.32 и более ранних версиях плагина. Эксперты сообщили о ней разработчикам 29 мая 2019 года, и уже через три дня создатели плагина выпустили обновление 8.0.33, в котором проблема была устранена.

Несмотря на то, что для исправления бага администраторам сайтов достаточно обновить плагин до более новой версии, киберпреступники могут использовать информацию об ошибке для атак на непропатченные веб-ресурсы.

Месяц назад аналитики из компании Sucuri нашли в WP Live Chat Support другую опасную уязвимость. Она позволяла неавторизованным злоумышленникам проводить XSS-атаки и внедрять вредоносный код на все страницы сайтов, где используется расширение. Вскоре после публикации информации о баге исследователи из ZScaler обнаружили первые попытки его эксплуатации. Злоумышленники внедряли на уязвимые сайты скрипт, который перенаправлял жертв на мошеннические веб-ресурсы, вызывал всплывающие окна и поддельные формы подписки на платные услуги.

Ваш голос учтён!

нравится

не нравится

Рейтинг:

0

Всего голосов: 0

Новые материалы в Разное:

RuStore открыл доступ иностранным разработчикам   // 08 февраля

CISA опубликовало декриптор в помощь жертвам шифровальщика ESXiArgs   // 08 февраля

Google обещает блюрить непристойные и жестокие картинки поиска   // 08 февраля

Бизнес предлагает продавать алкоголь по 2FA   // 08 февраля