Podle serveru The Hacker News se u dvou pluginů pro WordPress, Malware Scanner a Web Application Firewall od miniOrage, objevila kritická bezpečnostní zranitelnost CVE-2024-2172, která má v systému hodnocení zranitelností CVSS skóre závažnosti 9,8 z 10.
Tato zranitelnost měla rozsáhlý dopad, protože i když ji vývojář 7. března 2024 odstranil z obchodu s aplikacemi WordPress, stále mohla způsobovat problémy, jelikož byl Malware Scanner zaznamenán jako nainstalovaný a aktivní až na 10 000 webových stránkách, oproti 300 webům u Web Application Firewall.
Wordfence uvedl, že tato zranitelnost byla důsledkem nedostatečných kontrol v kódu pluginu, což útočníkovi umožňovalo libovolně aktualizovat heslo libovolného uživatele a povýšit oprávnění na administrátora bez ověření, což by mohlo vést k úplnému napadení webových stránek.
WordPress, jakožto nejoblíbenější platforma pro správu obsahu (CMS), je hlavním cílem hackerů.
S administrátorskými oprávněními mohou hackeři snadno stahovat další pluginy, škodlivé zip soubory obsahující zadní vrátka a upravovat příspěvky na webových stránkách tak, aby přesměrovávali uživatele na jiné škodlivé webové stránky.
Dříve byl hlášen podobný plugin s názvem RegistrationMagic s kódem zranitelnosti CVE-2024-1991 a skóre CVSS 8,8, což je také zranitelnost s vysokou závažností eskalace oprávnění. Tento plugin byl také stažen a nainstalován více než 10 000krát.
WordPress je populární systém pro správu obsahu (CMS) s otevřeným zdrojovým kódem, který je široce používán po celém světě . Díky snadné instalaci, nahrávání obsahu a správě je ideální platformou pro různé typy webových stránek, jako jsou internetové obchody, portály a diskusní fóra. Podle w3techs tuto platformu CMS v současné době používá 43,1 % webových stránek na celém světě.
Zdrojový odkaz
Komentář (0)