200 000 сайтов с WordPress-плагином PageLayer стали открыты для атак

Две уязвимости высокой степени опасности, обнаруженные в плагине PageLayer, позволяют злоумышленникам захватывать WordPress-сайты и удалять их контент.

PageLayer – WordPress-плагин, имеющий более чем 200 тысяч активных установок. Главная цель плагина – помочь пользователям, не имеющим навыков разработчиков или дизайнеров, создавать веб-страницы в реальном времени через специальный редактор.

Баги могут вести к захвату сайтов и их удалению

30 апреля команда разработчиков Wordfence Threat Intelligence сообщила создателям PageLayer о найденных уязвимостях. 6 мая вышел патч, который устранял эти дыры – релиз 1.1.2.

Согласно Wordfence, злоумышленники могут эксплуатировать две дыры в безопасности для модификации WordPress-сайтов, на которых используются старые версии плагина, а также для проведения атак с захватом сайта.

«Первая дыра позволяла любому аутентифицированному пользователю с уровнем подписчика или выше обновлять и модифицировать посты по своему усмотрению», — рассказали специалисты Wordfence.

«Вторая дыра позволяла злоумышленникам создавать поддельный запрос от лица администратора сайта для изменения настроек плагина, что давало возможность внедрить вредоносный JS-код».

Как уточняют эксперты, эти два бага связаны с незащищенными действиями AJAX, разглашением nonce и отсутствием защиты от Cross-Site Request Forgery (CSRF). Все это давало злоумышленникам возможность инъецировать вредоносный JS-код, изменять страницы атакованных сайтов, создавать поддельные аккаунты администраторов, перенаправлять посетителей на вредоносные сайты, а также использовать браузер пользователя для компрометации его компьютера.

Более подробную информацию по уязвимостям PageLayer, их опасности, а также о том, как они были исправлены разработчиками, можно найти в отчете Wordfence.

Чтобы защититься от потенциальных атак, пользователи должны немедленно обновить плагин PageLayer до версии 1.1.2, в которой эти уязвимости были исправлены.

Примерно 120к сайтов все еще подвержены атакам

Хотя плагин PageLayer 1.1.2 вышел еще 6 мая, до вчерашнего дня количество скачиваний новой версии составляло всего 85000. Эти цифры включают в себя как новые установки, так и обновления, согласно представленным данным о загрузках в каталоге плагинов WordPress.

Отсюда следует, что как минимум 120 000 сайтов с PageLayer по-прежнему остаются уязвимыми. Если у вас установлена старая версия этого плагина, мы рекомендуем вам незамедлительно обновиться.

Источник: https://www.bleepingcomputer.com

Блог про WordPress
Комментарии: 2
  1. Игорь, Подольск

    PageLayer — плагин для тех, кто решил сэкономить на программисте. Эти экономисты должны страдать… ахахах

    1. Дмитрий (автор)

      Причем тут экономия на программисте. Дыры могут быть обнаружены даже в крупных плагинах. Важно просто вовремя обновляться.
      Или вы считаете, ваш платный программист не может создать кривое решение? Здесь вообще-то тоже программисты трудились, и не один.

Добавить комментарий

Получать новые комментарии по электронной почте.