Разработчики WordPress выпустили внеочередное обновление для своей CMS (4.9.7), которое исправило две критических уязвимости и почти два десятка других проблем.
В конце июля 2018 года специалисты компании RIPS рассказали о новой уязвимости в WordPress. Обнаруженная проблема была связана с тем, что любой зарегистрированный пользователь (хватит даже прав User или Author), имеющий доступ к редактору записей, также может загружать и удалять изображения и превью для них. В итоге такой пользователь способен внедрить в WordPress произвольный вредоносный код и удалить критически важные для работы CMS файлы, которые в нормальных условиях должны быть доступны только администратору на сервере или через FTP.
Исследователи предупреждали, что эксплуатируя данный баг, злоумышленник, например, может удалить файл wp-config.php. После этого он получает возможность повторно инициировать процесс установки CMS, использовав собственные настройки и, например, принудить уязвимый сайт распространять малварь или иной вредоносный контент.
Когда о проблеме было объявлено публично, патча для этой бреши еще не было, хотя сообщалось, что разработчиков WordPress проинформировали о баге еще в ноябре прошлого года.
Опасную уязвимость решили детально изучить эксперты компании Wordfence, которые разработали PoC-эксплоит для изучения атаки и соответствующее защитное правило для своего файрвола. В ходе данного анализа была выявлена вторая, «смежная» уязвимость, так же являющаяся критической и позволявшая удалять произвольные файлы CMS из-за некорректной работы AJAX экшена upload-attachment, который используется для загрузки медиаконтента.
Усилия специалистов Wordfence не пропали даром. Разработчики WordPress не планировали выпускать обновление раньше конца июля, однако потенциальная опасность обнаруженных багов все же заставила их изменить планы. Теперь всем пользователям рекомендуют как можно быстрее обновить WordPress до новейшей версии 4.9.7, так как критические уязвимости представляют угрозу для всех версий CMS, включая WordPress 4.9.6.
