В плагине для донатов GiveWP для WordPress обнаружена критическая уязвимость, позволяющая хакерам выполнять команды на сервере

В плагине для донатов GiveWP для WordPress обнаружена критическая уязвимость, позволяющая хакерам выполнять команды на сервере. Фото: СС0

Уязвимость, получившая максимальный балл по шкале CVSS — 10.0, связана с небезопасной десериализацией PHP-данных, которая в сочетании с наличием в плагине гаджет-цепочек позволяет злоумышленнику выполнять произвольные системные команды.

Хотя для эксплуатации обычно требуется учётная запись на сайте, GiveWP предоставляет возможность неаутентифицированной регистрации, которая не проверяет настройки WordPress, что позволяет злоумышленнику создать учётную запись даже при отключённой регистрации.

После этого хакер может сохранить вредоносный сериализованный объект в своём профиле и внедрить его в базу данных сессий плагина через специально сформированный донат, а при последующем запросе любой страницы сервер десериализует этот объект и выполняет команду.

Разработчики устранили уязвимость в версии 4.16.7.2, выпущенной 27 августа, заблокировав сериализованные данные во время обработки донатов и ограничив создание объектов.

Обновление также удаляет потенциально опасные сериализованные объекты, уже хранящиеся в базах данных. Администраторам сайтов, использующих GiveWP, настоятельно рекомендуется немедленно обновить плагин до последней версии, чтобы предотвратить возможные атаки.