Тысячи сайтов WordPress пострадали от уязвимости плагина подарочной карты
27 декабря 2022 г.Тысячи веб-сайтов WordPress были обнаружены с использованием уязвимости -on, что позволяет злоумышленникам полностью захватить сайт.
Исследователи обнаружили критическую ошибку в YITH WooCommerce Gift Cards Premium, надстройке для конструктор веб-сайтов, предоставляющий интерфейс для создания подарочных карт на сайтах WordPress, который, как сообщается, используется более чем на 50 000 веб-сайтов.
Сам недостаток представляет собой уязвимость загрузки произвольного файла без проверки подлинности, позволяющую мошенникам, среди прочего, для загрузки веб-шеллов и получения полного доступа к целевому веб-сайту.
Кража данных крипто-аккаунта
Уязвимость, отслеживаемая как CVE-2022-45359 и имеющая оценку серьезности 9,8 – критическая, с тех пор была устранена, и пользователям настоятельно рекомендуется как можно скорее обновить надстройку, поскольку имеются признаки уязвимости. злоупотребления в дикой природе.
Впервые он был обнаружен в конце ноября 2022 года, когда исследователи обнаружили уязвимость, присутствующую во всех версиях до 3.19.0. Следовательно, пользователям рекомендуется довести надстройку как минимум до версии 3.20.0 или 3.21.0, которая теперь также доступна для загрузки.
Уязвимость была обнаружена Wordfence, компанией по кибербезопасности, анализирующей экосистему Wordpress, и ее исследователи утверждают, что злоумышленники уже используют эту уязвимость.
Хотя большинство атак произошло в ноябре, а уязвимость по-прежнему считалась нулевым днем, еще один пик использования наблюдался 14 декабря 2022 года.
Всего два IP-адреса (103.138.108.15 и 188.66.0.135) было совершено более 20 000 попыток взлома почти 12 000 веб-сайтов.
Хотя сам WordPress относительно стабилен (около 0,5% всех уязвимостей, связанных с WordPress, приходится на саму платформу веб-хостинга), его экосистема велика и предоставляет широкие возможности для эксплуатации. Платные надстройки, такие как эта, обычно часто обновляются, и разработчики стараются поддерживать безопасность продукта, в то время как бесплатные надстройки часто могут месяцами обходиться без исправлений и могут превратиться в настоящий кошмар для веб-мастеров.
- Познакомьтесь с лучшими брандмауэрами
Через: BleepingComputer
Оригинал