Te „złe” wtyczki WordPress sierpień 2020
Adam
Czas czytania: 4 min.
Wykaz podatności wtyczek WordPress.
Sierpień 2020
Przedstawiamy listę ostatnich wykrytych podatności we wtyczkach WordPress w miesiącu sierpniu 2020. Zachęcamy do zapoznania się z listą i aktualizacją wtyczek.
Wybraliśmy tylko te bardziej popularne wtyczki zawierające groźniejsze podatności.
Newsletter < 6.8.2 – XSS PHP
Ta wtyczka do obsługi newslettera już od zeszłego miesiąca cierpi na podatności XSS, których autorzy wypuszczając nowe aktualizacje łatają jedne a otwierają drugie, tym razem powielają podatność i dodają nowy bug Authenticated PHP Object Injection. Tym razem wtyczka cierpi na lukę w zabezpieczeniach Authenticated Reflected Cross-Site Scripting (XSS) za pośrednictwem akcji AJAX „tnpc_render”, którą można znaleźć w pliku, który znajdue się w ścieżce: newsletter/emails/emails.php.
Wtyczka używa funkcji AJAX, tnpc_render_callback, do wyświetlania edytowanych bloków na podstawie zestawu opcji przesłanych w żądaniu AJAX. Niestety, podatne na ataki wersje nie filtrowały tych opcji, ale przekazywały je do drugiej funkcji, restore_options_from_request, która używała wielu metod do dekodowania opcji przekazanych przed wyświetleniem ich za pomocą funkcji render_block.
W związku z tym osoba atakująca mogła wyświetlić złośliwy kod JavaScript na wiele sposobów.
Zalecamy aktualizację do najnowszej wersji wtyczki dostępnej w oficjalnym repozytorium czyli do wersji min. 6.8.2.
Zalecamy aktualizację do najnowszej wersji Email Subscribers & Newsletters – Simple and Effective Email Marketing WordPress Plugin od Icegram dostępnej w oficjalnym repozytorium wtyczek do WordPress.
File Manager < 6.5 – Ujawnienie danych wrażliwych
Jeżeli używacie tej wtyczki Menedżera plików WordPress to niezaktualizowana może ujawnić pliki kopii zapasowych, jeśli serwer sieciowy miał włączoną listę katalogów.
Wtyczka Menedżera plików WordPress w wersji 6.4 i starszej nie ograniczyła zewnętrznego dostępu do katalogu fm_backups za pomocą pliku .htaccess. Dzięki temu nieuwierzytelnieni użytkownicy mogli przeglądać i pobierać dowolne kopie zapasowe witryn, które czasami zawierają pełne kopie zapasowe bazy danych, które pobrała wtyczka.
Pliki kopii zapasowych można znaleźć w katalogu /wp-content/uploads/wp-file-manager-pro/fm_backup/
Zalecamy aktualizację do najnowszej wersji dostępnej w repozytorium.
Ochrona przed malware, atakami i podatnościami w WordPress!
Dla klientów Hostingu pod WordPress, Hostingu Elastycznego SSD oraz Hostingu WWW udostępniamy ochronę wspomaganą przez algorytmy sztucznej inteligencji (AI), które ustrzeże Twój serwer przed najnowszymi atakami, również atakami 0-Day zanim wyjdą hot-fixy!
Oprogramowanie analizuje to, co skrypty robią, a nie to, co faktycznie znajduje się w kodzie.
Sprawdź nasz Hosting pod WordPress!
O zabezpieczeniach… | Hosting pod WordPress
Autoptimize < 2.7.7 – Upload dowolnych plików
To pierwszy odnotowana podatność w tej popularnej (ponad 1 milion instalacji) wtyczce do optymalizacji WordPress.
Wywołanie ao_ccss_import AJAX nie gwarantuje, że dostarczony plik jest prawidłowym plikiem Zip, umożliwiając użytkownikom o wysokich uprawnieniach przesyłanie dowolnych plików, takich jak PHP, prowadzących do RCE.
Podatność nie jest może szczególnie groźna ale z uwagi na popularność oraz fakt że dowody na podatność zostały już upublicznione z początkiem sierpnia tego roku – zalecamy aktualizację.
Zalecamy aktualizację do najnowszej wersji dostępnej w repozytorium.
The Official Facebook Chat Plugin < 1.6 – Przejęcie czata
Tym razem poważna luka w oficjalnej wtyczce czata messenger od facebook.
Ta luka umożliwiła uwierzytelnionym atakującym połączenie własnego konta Facebook Messenger z dowolną witryną, na której działa ta podatna wtyczka, i prowadzenie rozmów z odwiedzającymi w witrynach, których dotyczy problem.
Zalecamy aktualizację do najnowszej wersji dostępnej w repozytorium WordPress czyli wersji 1.7 wtyczki.
Hosting dla WordPress w HitMe!
Dodaj komentarz