In gefaarlike kwetsberens (CVE-3-2022) is identifisearre yn 'e UpdraftPlus WordPress-tafoeging, dy't mear as 0633 miljoen aktive ynstallaasjes hat, wêrtroch in brûker fan tredden in kopy fan' e database fan 'e side kin downloade, dy't, neist ynhâld, befettet de parameters fan alle brûkers en wachtwurd hashes. It probleem wurdt oplost yn releases 1.22.3 en 2.22.3, dat wurdt oanrikkemandearre foar alle UpdraftPlus-brûkers om sa gau mooglik te ynstallearjen.
UpdraftPlus wurdt oankundige as de populêrste tafoeging foar it meitsjen fan backups fan siden dy't rinne op it WordPress-platfoarm. Fanwegen ferkearde kontrôle fan tagongsrjochten liet de add-on it downloaden fan in reservekopy fan 'e side en de byhearrende databank net allinich foar behearders, mar ek foar elke brûker registrearre op' e side, bygelyks mei abonneestatus.
Om backups yn UpdraftPlus te laden, wurdt in identifier brûkt dy't wurdt generearre op basis fan 'e tiid dat de backup is makke en in willekeurige folchoarder (nonce). It probleem is dat troch it ûntbrekken fan juste kontrôles yn 'e WordPress hertbeat-oanfraachhanneler, mei help fan in spesjaal ûntwurpen fersyk, kin elke brûker ynformaasje krije oer de lêste reservekopy, dy't ek ynformaasje befettet oer de tiid en de byhearrende willekeurige folchoarder.
Folgjende, basearre op de ûntfongen ynformaasje, kinne jo in identifier generearje en in reservekopy downloade mei de downloadmetoade per e-post. De funksje maybe_download_backup_from_email brûkt yn dizze metoade fereasket tagong ta de side options-general.php, dy't allinich tagonklik is foar de behearder. In oanfaller kin dizze beheining lykwols omgean troch de $pagenow-fariabele te spoofen dy't brûkt wurdt yn 'e kontrôle en in fersyk te ferstjoeren fia in tsjinstside dy't tagong jout foar net-befoarrjochte brûkers. Jo kinne bygelyks kontakt opnimme fia de side foar it ferstjoeren fan in berjocht nei de behearder troch in fersyk te stjoeren yn it formulier "wp-admin/admin-post.php/%0A/wp-admin/options-general.php?page=updraftplus ”.
Boarne: opennet.ru