Безопасность WordPress

stream

Support
Команда форума
Регистрация
09.09.14
Сообщения
957
Реакции
625
Баллы
93
Два популярных подключаемых модуля для CMS-движка WordPress — InfiniteWP Client и WP Time Capsule — применяются для управления несколькими веб-сайтами WordPress с одного сервера, для создания резервных копий файлов и записей базы данных при выпуске обновлений.

Эксперты кибербезопасности из WebArx, исследовавшие эту пару плагинов, обнаружили серьёзные недоработки защиты, открывающие для хакеров примерно сотни тысяч веб-сайтов. Логические проблемы в коде InfiniteWP Client и WP Time Capsule, как они пишут, позволяют входить в учетную запись администратора без пароля.

Согласно статистике библиотеке плагинов WordPress, InfiniteWP активен примерно на 300 тысячах веб-сайтов, а с WP Time Capsule работают не менее 20 тыс. доменов.

Разработчик обоих плагинов очень быстро отреагировал и выпустил программные исправления на следующий день после первоначального отчета WebArx, направленного ему 7 января. Чтобы решить эти проблемы, он изменил коды действий, удалил несколько вызовов функций и добавил проверки подлинности полезной нагрузки.

«Всегда приятно видеть разработчиков, которые быстро оповещают своих клиентов о проблемах и предпринимают меры, чтобы помочь им как можно скорее обновиться до более безопасной версии», — добавила команда WebArx.

Эксперты настоятельно рекомендуют веб-мастерам применить эти исправления, поскольку найденную уязвимость сложно заблокировать с помощью общих правил брандмауэра из-за зашифрованной полезной нагрузки.

Обновлению подлежат версии InfiniteWP ниже 1.9.4.5, которые позволяют, используя полезную нагрузку запросов POST загружаться, зная только никнейм администратора, и WP Time Capsule ниже 1.21.16, взламываемые добавлением в POST-запрос вызова функции, осуществляющей вход под видом первого в списке администраторов.
Информация взята здесь.
 

Rain

Администратор
Команда форума
Регистрация
04.09.14
Сообщения
367
Реакции
321
Баллы
63
Возраст
29
Два популярных подключаемых модуля для CMS-движка WordPress — InfiniteWP Client и WP Time Capsule — применяются для управления несколькими веб-сайтами WordPress с одного сервера, для создания резервных копий файлов и записей базы данных при выпуске обновлений.

Эксперты кибербезопасности из WebArx, исследовавшие эту пару плагинов, обнаружили серьёзные недоработки защиты, открывающие для хакеров примерно сотни тысяч веб-сайтов. Логические проблемы в коде InfiniteWP Client и WP Time Capsule, как они пишут, позволяют входить в учетную запись администратора без пароля.

Согласно статистике библиотеке плагинов WordPress, InfiniteWP активен примерно на 300 тысячах веб-сайтов, а с WP Time Capsule работают не менее 20 тыс. доменов.

Разработчик обоих плагинов очень быстро отреагировал и выпустил программные исправления на следующий день после первоначального отчета WebArx, направленного ему 7 января. Чтобы решить эти проблемы, он изменил коды действий, удалил несколько вызовов функций и добавил проверки подлинности полезной нагрузки.

«Всегда приятно видеть разработчиков, которые быстро оповещают своих клиентов о проблемах и предпринимают меры, чтобы помочь им как можно скорее обновиться до более безопасной версии», — добавила команда WebArx.

Эксперты настоятельно рекомендуют веб-мастерам применить эти исправления, поскольку найденную уязвимость сложно заблокировать с помощью общих правил брандмауэра из-за зашифрованной полезной нагрузки.

Обновлению подлежат версии InfiniteWP ниже 1.9.4.5, которые позволяют, используя полезную нагрузку запросов POST загружаться, зная только никнейм администратора, и WP Time Capsule ниже 1.21.16, взламываемые добавлением в POST-запрос вызова функции, осуществляющей вход под видом первого в списке администраторов.
Информация взята здесь.
Ииии? В чем проблема? Есть уязвимость - оперативно исправлена. Даже сейчас, в данный момент в твоём компьютере или смартфоне десятки а то и сотни уже исправленных и ещё не обнаруженных уязвимостей.
 

stream

Support
Команда форума
Регистрация
09.09.14
Сообщения
957
Реакции
625
Баллы
93
Ииии? В чем проблема? Есть уязвимость - оперативно исправлена. Даже сейчас, в данный момент в твоём компьютере или смартфоне десятки а то и сотни уже исправленных и ещё не обнаруженных уязвимостей.
И никаких проблем) Радует, что оперативно всё решено) Всего лишь информация для пользователей, которые используют эту CMS)
 

mychatik

Support
Команда форума
Регистрация
26.05.15
Сообщения
478
Реакции
387
Баллы
63
Веб-сайт
mychatik.ru
Исследователи безопасности из компании WebARX нашли ещё одну серьезную уязвимость в плагине для темы WordPress, которая позволяла получать доступ к сайту и стирать базы данных. У нее более 200 тысяч установок.

Плагин ThemeGrill Demo Importer дает админам возможность импортировать демо контент, виджеты и настраивать темы от ThemeGrill — компании по веб-разработке, которая продает коммерческие темы WordPress. Хакеры могли установить в базе данных настройки по умолчанию, а существование в БД пользователя под именем «admin» позволяло им автоматически осуществить вход с правами администратора.

Как только плагин обнаруживает, что тема ThemeGrill установлена и активирована, он загружает файл /include/class-demo-importer.php, который перехватывает reset_wizard_actions в admin_init в строке 44. В функции reset_wizard_actions проверка подлинности не выполняется.

Уязвимость нашли в версиях с 1.3.4 по 1.6.1. Таким образом, она существовала более трех лет. В патч добавили проверку current_user_can («manage_options») в функцию reset_wizard_actions.
40.png

Патч 1.6.2, в котором устранили уязвимость, выпустили только сегодня.

Информация взята здесь.
 
Сверху Снизу