3 сая гаруй идэвхтэй суулгалттай WordPress өргөтгөлийн UpdraftPlus-д аюултай эмзэг байдал (CVE-2022-0633) илэрсэн. Энэхүү эмзэг байдал нь гуравдагч талын хэрэглэгчдэд сайтын контент төдийгүй хэрэглэгчийн профайл болон нууц үгийн хэшийг агуулсан сайтын мэдээллийн сангийн хуулбарыг татаж авах боломжийг олгодог. Энэ асуудлыг 1.22.3 болон 2.22.3 хувилбаруудад зассан бөгөөд UpdraftPlus-ийн бүх хэрэглэгчдэд аль болох хурдан суулгахыг зөвлөж байна.
UpdraftPlus нь WordPress дээр суурилсан вэбсайтуудын нөөц хуулбарыг үүсгэх хамгийн алдартай нэмэлт гэж сурталчилагддаг. Зөвшөөрлийн шалгалтыг буруу хийсэн тул уг нэмэлт нь зөвхөн админуудад төдийгүй захиалагч гэх мэт бүртгэлтэй хэрэглэгчдэд вэбсайтын нөөц хуулбар болон түүнтэй холбоотой мэдээллийн санг татаж авах боломжийг олгосон.
UpdraftPlus нь нөөцлөлтийг байршуулахын тулд нөөцлөлт үүсгэх хугацаа болон санамсаргүй дарааллаар (nonce) үүсгэсэн танигчийг ашигладаг. Асуудал нь WordPress зүрхний цохилтын хүсэлтийн зохицуулагчид зохих шалгалт хийгдээгүйгээс болж ямар ч хэрэглэгч тусгайлан бүтээсэн хүсэлтээр цаг хугацаа болон холбогдох nonce зэрэг хамгийн сүүлийн үеийн нөөцлөлтийн талаарх мэдээллийг авах боломжтой юм.
Дараа нь олж авсан мэдээллээ ашиглан та танигч үүсгэж, имэйл байршуулах аргыг ашиглан нөөц хуулбарыг татаж авах боломжтой. Энэ аргад ашигласан maybe_download_backup_from_email функц нь зөвхөн администратор хандах боломжтой options-general.php хуудсанд хандах шаардлагатай. Гэсэн хэдий ч халдагч нь баталгаажуулалтад ашигласан $pagenow хувьсагчийг хуурч, эрхгүй хэрэглэгчдийг зөвшөөрдөг үйлчилгээний хуудсаар дамжуулан хүсэлт илгээх замаар энэ хязгаарлалтыг тойрч гарах боломжтой. Жишээлбэл, тэд "wp-admin/admin-post.php/%0A/wp-admin/options-general.php?page=updraftplus" хэлбэрээр хүсэлт илгээснээр администраторын мессежийн хуудсанд хандах боломжтой.
Эх сурвалж: opennet.ru
