Дослідники безпеки з компаній Wordfence та WebARX виявили кілька небезпечних уразливостей у п'яти плагінах для системи управління web-контентом WordPress, що в сумі налічують понад мільйон установок.
- у плагіні має більше 700 тисяч установок. Проблемі надано рівень небезпеки 9 з 10 (CVSS). Вразливість дає можливість автентифікованому користувачеві з правами передплатника видалити або приховати (змінити статус на неопубліковану чернетку) будь-яку сторінку сайту, а також виконати встановлення свого вмісту на сторінки.
уразливість у випуску 1.8.3. - у плагіні , що налічує понад 200 тисяч установок (зафіксовано реальні атаки на сайти, після початку яких і появи даних про вразливість кількість установок вже скоротилася до 100 тисяч). Вразливість дозволяє неавтентифікованим відвідувачам очистити вміст БД сайту та скинути БД у стан свіжої установки. Якщо в БД є користувач з ім'ям admin, то вразливість також дозволяє отримати повний контроль над сайтом. Уразливість викликана збоєм при спробі автентифікувати користувача, який намагається передати привілейовані команди через скрипт /wp-admin/admin-ajax.php. Проблема усунена у версії 1.6.2.
- у плагіні , що застосовується на 44 тисячах сайтів Проблемі присвоєно рівень небезпеки 9.8 з 10. Вразливість дозволяє неавтентифікованому користувачеві виконати свій PHP-код на сервері та здійснити встановлення облікового запису адміністратора сайту через відправлення спеціального запиту через REST-API.
У мережі вже зафіксовано випадки експлуатації вразливості, але оновлення з виправленням поки що недоступне. Користувачам рекомендує якнайшвидше видалити цей плагін. - у плагіні , що налічує 60 тисяч установок. Проблемі присвоєно рівень небезпеки 8.8 з 10. Вразливість дозволяє будь-якому автентифікованому відвідувачу, у тому числі з правами передплатника, підвищити свої привілеї до адміністратора сайту або отримати доступ до панелі керування wpCentral. Проблема усунена у версії 1.5.1.
- у плагіні , що налічує близько 65 тисяч установок. Проблемі надано рівень небезпеки 10 з 10. Вразливість дає можливість неавтентифікованому користувачеві створити обліковий запис з правами адміністратора (плагін дозволяє створювати форми реєстрації і користувач може просто передати додаткове поле з роллю користувача, надавши йому рівень адміністратора). Проблема усунена у версії 3.1.1.
Крім того, можна відзначити мережі з розповсюдження троянських плагінів та тем оформлення до WordPress. Зловмисники розміщували піратські копії платних плагінів на фіктивних сайтах-каталогах, попередньо інтегрувавши в них бекдор для отримання віддаленого доступу та завантаження команд з сервера, що управляє. Після активації шкідливий код використовувався для встановлення шкідливої або обманної реклами (наприклад, попереджень про необхідність встановлення антивірусу або оновити браузер), а також для пошукової оптимізації для просування сайтів, що розповсюджують шкідливі плагіни. За попередніми даними, за допомогою даних плагінів було скомпрометовано понад 20 тисяч сайтів. Серед жертв відзначено децентралізовану платформу майнінгу, трейдингову фірму, банк, кілька великих компаній, розробника рішень для платежів з використанням кредитних карток, IT-компанії тощо.
Джерело: opennet.ru