Разработчики All In One SEO исправили несколько уязвимостей, обнаруженных командой Jetpack Scan две недели назад. Релиз 4.1.5.3, вышедший 8 декабря, включил в себя патч для найденной SQL-уязвимости и бага с повышением привилегий.
Марк Монпас, исследователь, выявивший две уязвимости, объяснил, как они могут быть эксплуатированы:
«В случае своей эксплуатации SQL-уязвимость позволяет злоумышленникам получить доступ к конфиденциальной информации из базы данных сайта (к примеру, к именам пользователей и хэшированным паролям).
Баг с повышением привилегий позволяет злоумышленникам получать несанкционированный доступ к защищенным конечным точкам REST API. В итоге пользователи с аккаунтами, скажем, подписчиков (с минимальными привилегиями) могут выполнять удаленный код на затронутых сайтах»
По системе Common Vulnerability Scoring System (CVSS) уязвимостям были присвоены статусы High и Critical соответственно.
Как следует из слов Марка, в All In One SEO была неудовлетворительная защита конечных точек REST API, в результате чего пользователи с низкими привилегиями (допустим, подписчики) могли обойти проверку и получить доступ к любым конечным точкам, зарегистрированным плагином. Сюда входит и достаточно опасная точка htaccess, которая позволяет перезаписывать файл .htaccess сайта. Марк отметил, что злоумышленник может использовать этот функционал, чтобы скрыть бэкдоры в .htaccess и выполнить вредоносной код на сервере.
All in One SEO установлен на более чем 3 млн WP-сайтов, и все версии плагина с 4.0.0 по 4.1.5.2 являются уязвимыми. Пользователи, у которых включены автоматические обновления для минорных релизов, уже получили патч (с момента его выпуска прошло уже 7 дней). Если вы выполняете обновления вручную, команда Jetpack Scan рекомендует вам сделать это как можно быстрее.
Источник: wptavern.com
