Очередную критическую уязвимость, допускающую повышение прав, обнаружили в очередном SEO-плагине для WordPress — Rank Math.
Брешь, по словам команды Wordfence Threat Intelligence, обнаружившей данную проблему безопасности, позволяет не прошедшему аутентификацию злоумышленнику наделить правами администратора любого зарегистрированного на сайте пользователя. Действительно и обратное: атакующий может лишить прав любого администратора WordPress-сайта. Потенциальный злоумышленник может также обновлять метаданные, комментарии и посты.
Напомним, что в 2018 году WordPress поставил абсолютный рекорд и стал самой взламываемой CMS года, на которую приходится 90% подобных атак. За прошедший 2018 год количество найденных багов, связанных с WordPress, выросло на 300% (более 540 уязвимостей). Это очень большая проблема, ведь под управлением WordPress работают около 30% всех сайтов в мире (включая сайт АКБ). При этом 98% уязвимостей, связанных с WordPress, были сопряжены с работой различных плагинов.
Также в 2019 году стало известно, что группа хакеров использует уязвимости более чем в 10 плагинах для WordPress, чтобы создавать новые учетные записи администраторов на чужих сайтах. Затем такие учетные записи служат бэкдором для злоумышленников. Рассказывали мы и о более курьезных случаях.
Читайте также на АКБ:
Ботнет из сайтов на WordPress охотится на блокировщики рекламы
