Сайти на WordPress зламують через уразливість нульового дня в «закинутому» плагіні

Фахівці компанії Defiant попередили про уразливість CVE-2019-6703 в плагіні Total Donations. Раніше цей комерційний плагін для збору пожертвувань розробляла фірма CodeCanyon. Однак її сайт неактивний з травня 2018 року, а сам плагін знятий з продажу, так що зв'язатися з розробниками не вдалося.

Фахівці пояснюють, що баг пов'язаний з тим, що в складі Total Donations присутній AJAX-ендпоінт, який може бути запитаний віддаленим неавторизованих атакуючим, навіть якщо сам плагін відключений. Через цей ендпоінт зловмисник може змінювати налаштування плагіна, самого WordPress, перенаправити отримувані пожертвування в інше місце, витягнути список розсилки Mailchimp (Total Donations підтримує це як окрему функцію) і так далі. Що гірше, дослідники підкреслюють, що багом вже користуються зловмисники.

Хочете дізнатися більше?

Напишіть нам