Ann am plugan WordPress le còrr air 700 mìle ionad gnìomhach, so-leòntachd a leigeas le òrdughan neo-riaghailteach agus sgriobtaichean PHP a chuir gu bàs air an fhrithealaiche. Tha a’ chùis a’ nochdadh ann am fiosan Manaidsear File 6.0 tro 6.8 agus tha e air fhuasgladh ann an sgaoileadh 6.9.
Bidh am plugan Manaidsear File a’ toirt seachad innealan riaghlaidh faidhle airson rianadair WordPress, a’ cleachdadh an leabharlann a tha air a ghabhail a-steach airson làimhseachadh fhaidhlichean aig ìre ìosal . Ann an còd stòr leabharlann elFinder tha faidhlichean le eisimpleirean còd, a tha air an toirt seachad san eòlaire obrach leis an leudachadh “.dist”. Tha an so-leòntachd air adhbhrachadh leis an fhìrinn, nuair a chaidh an leabharlann a chuir air falbh, gun deach am faidhle “connector.minimal.php.dist” ath-ainmeachadh gu “connector.minimal.php” agus gum biodh e ri fhaighinn airson a chuir gu bàs nuair a chaidh iarrtasan bhon taobh a-muigh a chuir a-steach. Leigidh an sgriobt ainmichte leat gnìomhachd sam bith a dhèanamh le faidhlichean (luchdachadh suas, fosgail, deasaiche, ath-ainmich, rm, msaa), leis gu bheil na paramadairean aige air an toirt seachad gu gnìomh ruith () a’ phrìomh plugan, a ghabhas cleachdadh gus faidhlichean PHP a chuir an àite ann an WordPress agus ruith còd neo-riaghailteach.
Is e an rud a tha a’ dèanamh a’ chunnart nas miosa gu bheil so-leòntachd ann mu thràth gus ionnsaighean fèin-ghluasadach a dhèanamh, nuair a thèid ìomhaigh anns a bheil còd PHP a luchdachadh suas chun eòlaire “plugins / wp-file-manager / lib / files /” a ’cleachdadh an àithne“ luchdachadh suas ”, a tha an uairsin air ath-ainmeachadh gu sgriobt PHP leis an ainm air a thaghadh air thuaiream agus anns a bheil an teacsa “hard” no “x.”, mar eisimpleir, hardfork.php, hardfind.php, x.php, msaa). Aon uair ‘s gu bheil e air a chuir gu bàs, cuiridh an còd PHP cùl-raon ris na faidhlichean /wp-admin/admin-ajax.php agus /wp-includes/user.php, a’ toirt cothrom do luchd-ionnsaigh air eadar-aghaidh rianadair na làraich. Tha gnìomhachd air a dhèanamh le bhith a’ cur iarrtas POST chun fhaidhle “wp-file-manager/lib/php/connector.minimal.php”.
Bu chòir a thoirt fa-near, às deidh an hack, a bharrachd air a bhith a’ fàgail an doras cùil, gun tèid atharrachaidhean a dhèanamh gus tuilleadh fiosan a dhìon chun fhaidhle connector.minimal.php, anns a bheil so-leòntachd, gus casg a chuir air luchd-ionnsaigh eile a bhith a’ toirt ionnsaigh air an fhrithealaiche.
Chaidh a 'chiad oidhirpean ionnsaigh a lorg air 1 Sultain aig 7m (UTC). ANNS
12: 33 (UTC) tha luchd-leasachaidh am plugan Manaidsear File air paiste a leigeil ma sgaoil. A rèir a’ chompanaidh Wordfence a chomharraich an so-leòntachd, chuir am balla-teine aca stad air timcheall air 450 mìle oidhirp gus brath a ghabhail air so-leòntachd gach latha. Sheall sgrùdadh lìonra nach eil 52% de làraich a tha a’ cleachdadh a’ plugan seo air ùrachadh fhathast agus gu bheil iad so-leònte. Às deidh dhut an ùrachadh a chuir a-steach, tha e ciallach sgrùdadh a dhèanamh air log an fhrithealaiche http airson fiosan chun sgriobt “connector.minimal.php” gus faighinn a-mach a bheil an siostam air a chuir an cunnart.
A bharrachd air an sin, faodaidh tu an sgaoileadh ceartachaidh a thoirt fa-near a mhol .
Source: fosgailtenet.ru
