Udhaifu mkubwa katika programu jalizi za WordPress zilizo na usakinishaji zaidi ya elfu 400

Katika programu-jalizi tatu maarufu za mfumo wa usimamizi wa yaliyomo kwenye wavuti ya WordPress, na usakinishaji zaidi ya elfu 400, kufichuliwa udhaifu muhimu:

• Uwezo wa kuathiriwa katika programu-jalizi Mteja wa InfiniteWP, ambayo ina usakinishaji amilifu zaidi ya elfu 300, hukuruhusu kuunganishwa bila uthibitishaji kama msimamizi wa tovuti. Kwa kuwa programu-jalizi imeundwa ili kuunganisha usimamizi wa tovuti kadhaa kwenye seva, mshambulizi anaweza kupata udhibiti wa tovuti zote zinazotolewa kwa kutumia InfiniteWP Client mara moja. Ili kushambulia, inatosha kujua kuingia kwa mtumiaji aliye na haki za msimamizi, na kisha kutuma ombi maalum la POST (ikionyesha parameta "add_site" au "readd_site"), unaweza kuingiza kiolesura cha usimamizi na haki za mtumiaji huyu. Athari husababishwa na hitilafu katika utekelezaji wa chaguo za kukokotoa za kuingia kiotomatiki.
  tatizo kuondolewa katika kutolewa kwa InfiniteWP Mteja 1.9.4.5.

• Udhaifu mbili katika programu-jalizi Kuweka upya Hifadhidata ya WP, ambayo hutumiwa kwenye tovuti takriban 80 elfu. Athari ya kwanza hukuruhusu kuweka upya yaliyomo kwenye jedwali lolote kwenye hifadhidata hadi hali ya awali bila kupitisha uthibitishaji (kusababisha hali ya usakinishaji mpya wa WordPress, kufuta data inayohusishwa na tovuti). Tatizo linasababishwa na hundi ya ruhusa inayokosekana wakati wa kutekeleza kitendakazi cha kuweka upya.

  Athari ya pili katika Uwekaji upya Hifadhidata ya WP inahitaji ufikiaji ulioidhinishwa (akaunti iliyo na haki ndogo za msajili inatosha) na hukuruhusu kupata haki za msimamizi wa tovuti (unaweza kufuta watumiaji wote kwenye jedwali la wp_users, baada ya hapo mtumiaji aliyebaki atachukuliwa kuwa msimamizi). Masuala yametatuliwa katika toleo la 3.15.

• Uwezo wa kuathiriwa katika programu-jalizi WP Time Capsule, ambayo ina mitambo zaidi ya elfu 20, inakuwezesha kuunganishwa na haki za msimamizi bila uthibitishaji. Ili kutekeleza shambulio, inatosha kuongeza laini IWP_JSON_PREFIX kwa ombi la POST, na ikiwa iko, kitendakazi cha wptc_login_as_admin kinaitwa bila ukaguzi wowote. Tatizo kuondolewa katika toleo la 1.21.16.
  

Chanzo: opennet.ru