Wordfence və WebARX-dan olan təhlükəsizlik tədqiqatçıları WordPress veb məzmununun idarə edilməsi sistemi üçün beş plagində bir neçə təhlükəli boşluq aşkar ediblər ki, bu da cəmi bir milyondan çox quraşdırmadır.
- plagində 700 mindən çox qurğuya malik olan. Problem 9 baldan 10-cu Ciddilik Səviyyəsi ilə qiymətləndirilib (CVSS). Zəiflik abunəçi hüququ olan autentifikasiya edilmiş istifadəçiyə saytın istənilən səhifəsini silmək və ya gizlətmək (statusunu dərc olunmamış qaralama kimi dəyişdirmək), həmçinin səhifələrdə öz məzmununu əvəz etmək imkanı verir.
Zəiflik buraxılış 1.8.3. - plagində , sayı 200 mindən çox olan qurğular (saytlara real hücumlar qeydə alınıb, başlanmasından və zəiflik haqqında məlumatların görünməsindən sonra qurğuların sayı artıq 100 minə qədər azalıb). Zəiflik, təsdiqlənməmiş ziyarətçiyə saytın verilənlər bazasının məzmununu təmizləməyə və verilənlər bazasını təzə quraşdırma vəziyyətinə qaytarmağa imkan verir. Əgər verilənlər bazasında admin adlı istifadəçi varsa, o zaman boşluq həm də sayt üzərində tam nəzarət əldə etməyə imkan verir. Zəifliyə /wp-admin/admin-ajax.php skripti vasitəsilə imtiyazlı əmrlər verməyə cəhd edən istifadəçinin autentifikasiya edilməməsi səbəb olur. Problem 1.6.2 versiyasında aradan qaldırılıb.
- plagində , 44 min saytda istifadə olunur. Məsələ 9.8-dan 10-ə qədər ciddilik dərəcəsi ilə təyin olunub. Zəiflik təsdiqlənməmiş istifadəçiyə serverdə öz PHP kodunu icra etməyə və REST-API vasitəsilə xüsusi sorğu göndərməklə saytın administrator hesabını əvəz etməyə imkan verir.
Zəiflikdən istifadə halları artıq şəbəkədə qeydə alınıb, lakin düzəliş ilə yeniləmə hələ mövcud deyil. İstifadəçilərə bu plaqini mümkün qədər tez silmək tövsiyə olunur. - plagində , 60 min quraşdırma. Məsələ 8.8-dan 10-ə qədər ciddilik dərəcəsi ilə təyin edilib. Zəiflik autentifikasiya olunmuş istənilən ziyarətçiyə, o cümlədən abunəçi hüquqlarına malik olan şəxslərə öz imtiyazlarını sayt administratoruna artırmağa və ya wpCentral idarəetmə panelinə giriş əldə etməyə imkan verir. Problem 1.5.1 versiyasında aradan qaldırılıb.
- plagində , təxminən 65 min quraşdırma ilə. Problemə 10-dan 10-a qədər ciddilik dərəcəsi təyin edilib. Zəiflik autentifikasiya olunmamış istifadəçiyə administrator hüquqları ilə hesab yaratmağa imkan verir (plugin qeydiyyat formaları yaratmağa imkan verir və istifadəçi sadəcə olaraq istifadəçinin rolu ilə əlavə sahəni keçə bilər. bu administrator səviyyəsidir). Problem 3.1.1 versiyasında aradan qaldırılıb.
Bundan əlavə, qeyd etmək olar Trojan plaginlərini və WordPress mövzularını yaymaq üçün şəbəkələr. Təcavüzkarlar pullu plaginlərin pirat nüsxələrini uydurma kataloq saytlarına yerləşdiriblər, əvvəllər onlara uzaqdan giriş əldə etmək və idarəetmə serverindən əmrləri yükləmək üçün arxa qapı inteqrasiya ediblər. Aktivləşdirildikdən sonra zərərli koddan zərərli və ya aldadıcı reklamın daxil edilməsi (məsələn, antivirus quraşdırmaq və ya brauzerinizi yeniləmək zərurəti barədə xəbərdarlıqlar), həmçinin zərərli plaginləri yayan saytları tanıtmaq üçün axtarış sisteminin optimallaşdırılması üçün istifadə edilib. İlkin məlumatlara görə, bu plaginlərdən istifadə etməklə 20 mindən çox sayt dağıdılıb. Qurbanlar arasında mərkəzləşdirilməmiş mədən platforması, ticarət firması, bank, bir neçə böyük şirkət, kredit kartlarından istifadə etməklə ödənişlər üçün həllər hazırlayan, İT şirkətləri və s.
Mənbə: opennet.ru