Zraniteľnosť doplnku WordPress potenciálne ovplyvňuje viac ako 20 000 webových stránok

Doplnok WordPress v súčasnosti trpí závažnou hrozbou zraniteľnosti.

Wordfence ohlásil vysokú úroveň hrozby zraniteľnosti v doplnku Access Demo Importer WordPress.

Odporúča sa aktualizovať váš doplnok tak rýchlo, ako je to v ľudských silách, aby ste zmiernili akékoľvek problémy súvisiace s touto hrozbou.

Čo je doplnok WordPress na importovanie ukážok prístupu?

Tento doplnok umožňuje vlastníkovi webovej lokality importovať ukážkový obsah pre témy, ktoré sú nakonfigurované na používanie doplnku.

Je to jednoduchý spôsob importovania ukážkového obsahu bez toho, aby ste ho museli písať alebo vytvárať.

Tento doplnok je vynikajúcou voľbou pre tvorcov webových stránok, ktorí jednoducho nechcú tráviť celý ten čas vytváraním ukážkového obsahu pre svoje témy.

Aká zlá je bezpečnostná hrozba?

Táto bezpečnostná hrozba má úroveň ohrozenia CVSS skóre 8,8, ktorá sa považuje za vysokú a veľmi závažnú.

Jeden aspekt schopnosti doplnku importovať obsah bol nezabezpečene implementovaný, čo znamená, že ktorýkoľvek overený používateľ mohol nahrať ľubovoľné súbory.

Podľa Wordfence:

„Doplnok zaregistruje akciu AJAX wp_ajax_plugin_offline_installer, ktorá je prepojená s funkciou plugin_offline_installer_callback. Táto funkcia prevezme zadané umiestnenie súboru, čo môže byť akákoľvek externá adresa URL do súboru ZIP, spolu s ďalšími parametrami, ako je slug, class_name a file, a potom načíta obsah súboru a extrahuje súbor ZIP do adresára doplnku.

Čítať:  11 spôsobov, ako skórovať športové spätné odkazy

Bohužiaľ, táto funkcia nemala žiadnu kontrolu spôsobilosti, ani žiadne kontroly nonce, čo umožnilo overeným používateľom s minimálnymi povoleniami, ako sú predplatitelia, nainštalovať súbor zip ako „plugin“ z externého zdroja. Tento „plugin“ súbor zip by mohol obsahovať škodlivé súbory PHP, vrátane webových shellov, ktoré by sa dali použiť na dosiahnutie vzdialeného spustenia kódu po extrahovaní a nakoniec by sa dali použiť na úplné ovládnutie stránky.“

Ako sa môžete chrániť pred touto zraniteľnosťou?

Za predpokladu, že sa v dôsledku toho na vašich stránkach nevyskytnú žiadne závažné problémy, odporúčame vám najskôr inovovať akúkoľvek verziu tohto doplnku, ktorú ste si nainštalovali.

V opačnom prípade by ste mohli riskovať, že niekto bude mať prístup k vašej lokalite a hackne súbory.

Vo všeobecnosti sú pravidelné aktualizácie doplnkov najlepším spôsobom, ako zabezpečiť, aby bola vaša stránka zabezpečená a aby ste v budúcnosti nenarazili na žiadne závažné problémy.

Nové Publikácie:

ODPORÚČANIE