Национальная база данных уязвимостей правительства США (NVD) опубликовала рекомендацию об уязвимости, обнаруженной в плагине WP Statistics WordPress, которая затрагивает до 600 000 активных установок.
Уязвимости был присвоен средний уровень угрозы 6,5 по шкале от 1 до 10, где уровень 10 соответствует наиболее серьезному уровню уязвимости.
Подделка межсайтовых запросов WP Statistics (CSRF)
Было обнаружено, что плагин WP Statistics содержит уязвимость подделки межсайтовых запросов, которая может позволить злоумышленнику скомпрометировать веб-сайт, активировав или деактивировав плагины.
Подделка межсайтовых запросов — это атака, при которой требуется, чтобы зарегистрированный пользователь веб-сайта (например, администратор) выполнил действие, например щелчок по ссылке, что затем позволяет злоумышленнику воспользоваться брешей в системе безопасности.
Пробел в безопасности в этом случае — это «отсутствующая или неправильная проверка nonce».
Одноразовый номер WordPress — это токен безопасности, предоставляемый зарегистрированному пользователю, который позволяет этому пользователю безопасно выполнять действия, которые может выполнять только зарегистрированный пользователь.
Страницы разработчиков WordPress объясняют одноразовый номер на примере администратора, удаляющего сообщение.
WordPress может генерировать такой URL-адрес, когда пользователь уровня администратора удаляет сообщение.
Ниже приведен гипотетический пример URL-адреса, сгенерированного при удалении сообщения с идентификационным номером 123:
Зарегистрированный администратор сайта WordPress подберет одноразовый номер, и URL-адрес в примере может выглядеть так:
&_wpnonce=b192fc4204
Та последняя часть, &_wpnonce=b192fc4204это одноразовый номер.
Итак, что происходит, так это то, что одноразовый номер либо отсутствует, либо не проверен должным образом в плагине WP Statistics, и это создает брешь в безопасности, которую может использовать злоумышленник.
Национальная база данных уязвимостей (NVD) объясняет это так:
«Плагин WP Statistics для WordPress уязвим для подделки межсайтовых запросов в версиях до 13.1.1 включительно. Это связано с отсутствием или неправильной проверкой nonce в функции view().
Это позволяет злоумышленникам, не прошедшим проверку подлинности, активировать и деактивировать произвольные плагины с помощью поддельного запроса, если они могут обмануть администратора сайта, заставив его выполнить такое действие, как щелчок по ссылке».
Исправление уязвимости CSRF
Уязвимость плагина WP Statistics затрагивает версию до 13.1.1 включительно. Однако с тех пор было добавлено множество исправлений безопасности, в том числе в версии 13.2.11, а также дополнительные исправления после нее.
Текущая версия плагина 14.0.1. В настоящее время только 29,3% пользователей используют самую последнюю версию.
Пользователи устаревшей версии плагина могут захотеть обновиться до последней версии.
Прочтите рекомендации по безопасности NVD:
Избранное изображение Shutterstock/Asier Romero
