У трьох популярних плагінах для системи управління web-контентом WordPress, що налічують понад 400 тисяч установок, :
- у плагіні , що має більше 300 тисяч активних установок, дозволяє підключитися без проходження автентифікації як адміністратора сайту. Так як плагін призначений для уніфікації керування кількома сайтами на сервері, атакуючий може отримати контроль одразу за всіма сайтами, що обслуговуються з використанням InfiniteWP Client. Для атаки достатньо знати логін користувача, який має права адміністратора, після чого через відправлення спеціально оформленого POST-запиту ( параметр "add_site" або "readd_site") можна увійти в інтерфейс керування з правами даного користувача. Вразливість викликана помилкою у реалізації функції автоматичного входу.
проблема у випуску InfiniteWP Client 1.9.4.5. - у плагіні , що використовується приблизно на 80 тисяч сайтів. Перша вразливість дозволяє без проходження автентифікації скинути у початковий стан вміст будь-яких таблиць у БД (привести до стану свіжої установки WordPress, видаляючи пов'язані з сайтом дані). Проблема викликана відсутністю перевірки наявності повноважень під час виконання функції скидання.
Друга вразливість у WP Database Reset вимагає наявності автентифікованого доступу (достатньо наявності облікового запису з мінімальними правами передплатника) і дозволяє отримати привілеї адміністратора сайту (можна домогтися видалення всіх користувачів з таблиці wp_users, після чого поточний користувач буде оброблятися як ад). Проблеми усунуті у випуску 3.15.
- у плагіні , що має понад 20 тисяч установок, дозволяє підключитися з правами адміністратора без проходження автентифікації. Для атаки достатньо додати в POST-запит рядок IWP_JSON_PREFIX, за наявності якого без будь-яких перевірок викликається функція wptc_login_as_admin. Проблема у випуску 1.21.16.
Джерело: opennet.ru