Обнаруженная проблема связана с тем, что пользователь с доступом к редактору записей также может загружать и удалять изображения и превью для них. В итоге такой пользователь способен внедрить в WordPress произвольный вредоносный код и удалить критически важные для работы CMS файлы, которые в нормальных условиях должны быть доступны только администратору на сервере или через FTP.
Хотя устроить атаку на уязвимый ресурс может только пользователь, уже имеющий к нему доступ, эксперты RIPS предупреждают, что даже самых низких прав будет достаточно. В теории даже доступа уровня User достаточно для повышения привилегий и эксплуатации уязвимости.
В корне проблемы лежит тот факт, что злоумышленник может удалить файл wp-config.php. После этого он получает возможность повторно инициировать процесс установки, использовав при этом собственные установки и, например, принудив сайт распространять малварь или иной вредоносный контент. Видеодемонстрацию атаки можно увидеть ниже.
По данным RIPS, уязвимость представляет угрозу для всех версий CMS, включая наиболее свежую — WordPress 4.9.6.
Представители WordPress пока никак не прокомментировали отсутствие патча для нового бага. В связи с этим журналисты BleepingComputer обратились к специалистам Sucuri за «вторым мнением», и те подтвердили изданию, что все выводы в отчете RIPS обоснованы, и обнаруженная проблема действительно опасна.
Хотя официального исправления пока нет, разработчики RIPS выпустили собственный временный хотфикс, который приложен к отчету. Код специалистов нужно добавить к файлу functions.php.
Источник
Batafsil | Подробно | Read more... InfoCOM
Related News
Top News
-
Пароло: "Пиолининг ишини ижобий баҳолайман"
Стефано Пиолининг "Милан"даги даври ниҳоясига етди, клуб раҳбарияти у билан хайрлашишга қарор қилди.
-
Mercedes-Benz’dan TATA Motors Limited’gacha – dunyodagi yuk avtomobillari ishlab chiqaruvchi eng yirik kompaniyalar.
Bugun jahon iqtisodiyotini yuk avtomobillarisiz tasavvur qilib bo‘lmaydi. Mahsulotlarning qariyb yarmi ular yordamida tashiladi. Shu sababli ham...
-
Buxoro va Qoraqalpog‘istonda pul evaziga til sertifikatini olib bermoqchi bo‘lgan shaxslar ushlandi.
Ikkita holat bo‘yicha jinoyat ishi qo‘zg‘atilgan. Hozirda tergov harakatlari olib borilmoqda..
-
«Реал» 1988/89 йилги ажойиб натижасини такрорлади
« Реал Мадрид » бутун Испания чемпионати мавсумида фақат бир бор мағлубият аламини тотиб кўрди.
-
Xalqaro sud prokurori nega Netanyahuni hibsga olishga order so‘rayotganini tushuntirdi.
Karim Ahmad Xon ingliz nashriga bergan intervyusida o‘z pozitsiyasini tushuntirish uchun Shimoliy Irlandiyadagi separatizmni misol qilib keltirdi....
-
Vladimir Putin davlat tashrifi bilan O‘zbekistonga keldi.
Rossiya Federatsiyasi prezidenti Vladimir Putin ikki kunlik davlat tashrifi bilan Toshkentga keldi. Aeroportda mehmonni O‘zbekiston Respublikasi...