В сети появились эксплоиты для уязвимостей в трех популярных WordPress-плагинах

Рекомендуем почитать:

Xakep #305. Multi-Step SQLi

• Содержание выпуска
• Подписка на «Хакер»-60%

Сразу три популярных плагина для WordPress, насчитывающие десятки тысяч активных установок, оказались уязвимы для критических проблем, связанных с SQL-инъекциями. К тому же теперь в отрытом доступе опубликованы PoC-эксплоиты для этих багов.

Уязвимости были обнаружены специалистами компании Tenable, которые уведомили о них разработчиков WordPress еще в середине декабря 2022, предоставив им proof-of-concept эксплоиты. В настоящее время авторы плагинов уже выпустили патчи для решения проблем, поэтому исследователи раскрыли технические детали обнаруженных багов.

Первый плагин, уязвимый для SQL-инъекций, — это Paid Memberships Pro, предназначенный для управления членством и подписками, который используют более 100 000 сайтов.

«Плагин не избегает параметра code в REST-пути /pmpro/v1/order перед использованием в SQL statement, что приводит к уязвимости перед SQL-инъекциями без аутентификации», — пишут исследователи.

Уязвимость отслеживается как CVE-2023-23488 (9,8 балла по шкале CVSS, то есть критическая) и затрагивает все версии плагина старше 2.9.8. Проблема была устранена выпуском версии 2.9.8.

Второй уязвимый плагин — Easy Digital Downloads, предназначенный для электронной коммерции и продажи цифровых файлов, насчитывающий более 50 000 активных установок.

«Плагин не избегает параметра s в edd_download_search перед использованием в SQL statement, что приводит к уязвимости перед SQL-инъекциями без аутентификации», — объясняют в Tenable.

Уязвимость отслеживается как CVE-2023-23489 (так же 9,8 балла по шкале CVSS) и затрагивает все версии плагина старше 3.1.0.4, выпущенные до 5 января 2023 года.

Также Tenable обнаружила проблему CVE-2023-23490 в плагине Survey Marker используемом 3000 сайтов для проведения опросов и исследований. Уязвимость получила 8,8 балла по шкале CVSS, так как злоумышленник должен пройти аутентификацию (хотя бы как подписчик), чтобы эксплуатировать баг.  К сожалению, это условие можно легко выполнить, поскольку многие сайты позволяют посетителям регистрироваться в качестве участников.

Уязвимость в плагине была исправлена с релизом версии 3.1.2 в конце декабря 2022 года.