400 हजार भन्दा बढी स्थापनाहरूको साथ WordPress प्लगइनहरूमा महत्वपूर्ण कमजोरीहरू

WordPress वेब सामग्री व्यवस्थापन प्रणालीको लागि तीन लोकप्रिय प्लगइनहरूमा, 400 हजार भन्दा बढी स्थापनाहरूको साथ, पहिचान गरियो महत्वपूर्ण कमजोरीहरू:

• कमजोरी प्लगइन मा InfiniteWP ग्राहक, जसमा 300 हजार भन्दा बढी सक्रिय स्थापनाहरू छन्, तपाइँलाई साइट प्रशासकको रूपमा प्रमाणीकरण बिना जडान गर्न अनुमति दिन्छ। प्लगइन सर्भरमा धेरै साइटहरूको व्यवस्थापनलाई एकताबद्ध गर्न डिजाइन गरिएको हुनाले, आक्रमणकर्ताले एकैचोटि InfiniteWP क्लाइन्ट प्रयोग गरी सेवा गरिएका सबै साइटहरूको नियन्त्रण प्राप्त गर्न सक्छ। आक्रमण गर्न, प्रशासक अधिकारहरू भएको प्रयोगकर्ताको लगइन जान्न पर्याप्त छ, र त्यसपछि विशेष रूपमा डिजाइन गरिएको POST अनुरोध पठाउनुहोस् (संकेत गर्दै प्यारामिटर "add_site" वा "readd_site"), तपाइँ यस प्रयोगकर्ताको अधिकार संग व्यवस्थापन इन्टरफेस प्रविष्ट गर्न सक्नुहुन्छ। असुरक्षा स्वचालित लगइन प्रकार्य को कार्यान्वयन मा त्रुटि को कारण हो।
  समस्या हटाइयो InfiniteWP क्लाइन्ट 1.9.4.5 को रिलीज मा।

• दुई कमजोरी प्लगइन मा WP डाटाबेस रिसेट, जुन लगभग 80 हजार साइटहरूमा प्रयोग गरिन्छ। पहिलो कमजोरीले तपाइँलाई डाटाबेसमा कुनै पनि तालिकाको सामग्रीहरूलाई प्रमाणीकरण पास नगरी प्रारम्भिक स्थितिमा रिसेट गर्न अनुमति दिन्छ (नतिजास्वरूप नयाँ WordPress स्थापनाको स्थितिमा, साइटसँग सम्बन्धित डाटा मेटाउने)। रिसेट प्रकार्य कार्यान्वयन गर्दा हराइरहेको अनुमति जाँचको कारणले गर्दा समस्या आएको हो।

  WP डाटाबेस रिसेटमा दोस्रो जोखिमलाई प्रमाणीकृत पहुँच चाहिन्छ (न्यूनतम ग्राहक अधिकारहरू भएको खाता पर्याप्त छ) र तपाइँलाई साइट प्रशासक विशेषाधिकारहरू प्राप्त गर्न अनुमति दिन्छ (तपाईले wp_users तालिकाबाट सबै प्रयोगकर्ताहरूलाई मेटाउन सक्नुहुन्छ, त्यसपछि हालको बाँकी प्रयोगकर्तालाई एकको रूपमा व्यवहार गरिनेछ। प्रशासक)। रिलीज 3.15 मा समस्याहरू समाधान गरियो।

• कमजोरी प्लगइन मा WP समय कैप्सूल, जसमा 20 हजार भन्दा बढी स्थापनाहरू छन्, तपाईंलाई प्रमाणीकरण बिना प्रशासक अधिकारहरूसँग जडान गर्न अनुमति दिन्छ। आक्रमण गर्नको लागि, यो POST अनुरोधमा लाइन IWP_JSON_PREFIX थप्न पर्याप्त छ, र यदि अवस्थित छ भने, wptc_login_as_admin प्रकार्यलाई कुनै पनि जाँच बिना बोलाइन्छ। समस्या हटाइयो रिलीज 1.21.16 मा।
  

स्रोत: opennet.ru