Этот популярный плагин WordPress подверг 600 000 сайтов удаленному взлому, исправление как можно скорее

хакерские новости 2
Исследователи говорят, что вы должны обновить популярный плагин WordPress как можно раньше, иначе вы можете потерять доступ к своему веб-сайту и, возможно, к своему веб-серверу!

Если вы существуете в Интернете, вы, вероятно, знаете или видели хотя бы один сайт WordPress. Программное обеспечение для управления контентом, вероятно, является самым популярным в своем роде на планете: по данным Envisage Digital, в 2021 году на нем будет работать 37% всех веб-сайтов. К сожалению, для более чем 600 000 пользователей популярного плагина существует уязвимость, позволяющая хакеру получить удаленный контроль над их веб-сайтами!

новости плагина wp
При более чем миллионе активных установок было обнаружено, что Essential Addons для Elementor (версии 5.0.4 и ниже), в котором есть множество полезных модификаций и улучшений шаблона, имеет серьезную уязвимость. Первоначально обнаруженная исследователем Вай Ян Мио, уязвимость позволяет любому пользователю, независимо от статуса аутентификации или авторизации, выполнить локальную атаку включения файлов. Эта атака может позволить злоумышленнику перезаписать файлы в файловой системе веб-сервера. Так, например, на сервере Linux они теоретически могут перезаписать файл « /etc/passwd », который содержит учетные записи пользователей и связанные с ними разрешения.

Неприятная маленькая уязвимость возникает из-за комбинации функций ajax и PHP «include», которые фактически принимают пользовательский ввод либо через URL-адрес, либо через полезную нагрузку POST. Это методы, с помощью которых веб-сайты могут общаться друг с другом. К сожалению, не было надлежащей очистки этого ввода в сочетании с рассматриваемым плагином. Таким образом, плагин будет принимать входные данные, позволяя ему работать на сервере, и, в конечном итоге, если для этого будет включен правильный код, предоставлять доступ ко всему на сервере.
хакерские новости
Стек патчей веб-сайта инструмента безопасности содержит значительно больше подробностей о том, как работает атака . Разработчики Essential Addons для Elementor выпустили патч (версия 5.0.5), и он доступен для загрузки либо через интерфейс менеджера плагинов WordPress, либо через эту страницу загрузки .

Источник (англ.)

Поставить оценку
Кофебрейкер | Интернет-журнал