Плагин WPForms для WordPress подвергает веб-сайты уязвимости, которая позволяет злоумышленникам обновлять подписки и возвращать средства. Эта уязвимость позволяет злоумышленникам изменять данные, к которым у них обычно нет доступа.
Отсутствует проверка навыков
Уязвимость связана с отсутствием проверки возможностей функции внутри плагина под названием wpforms_is_admin_page. Это означает, что плагин не проверяет наличие соответствующих разрешений пользователя, пытающегося внести изменения с помощью этой функции. Это означает, что плагин позволяет злоумышленникам изменять данные, не имеющим достаточных прав.
Чтобы начать атаку, злоумышленникам необходимо получить разрешения как минимум на уровне подписчика. Обычно этот тип атаки не достигает такого высокого уровня серьезности. Однако это может быть связано с тем, что на сайтах, пользователи которых платят за подписку, также могут быть пользователи уровня подписчика. Это может быть причиной того, что серьезность этой аутентифицированной атаки выше, чем общая.
В объявлении Wordfence это объясняется так:
«Плагин WPForms для WordPress уязвим к несанкционированной модификации данных из-за отсутствия тестирования функциональности функции wpforms_is_admin_page в версиях от 1.8.4 до 1.9.2.1 включительно. Это позволяет злоумышленникам, прошедшим проверку подлинности и имеющим доступ на уровне подписчика и выше, возвращать платежи и отменять подписки».
Пользователям версий плагинов WPForms от версии 1.8.4 до 1.9.2.1 включительно рекомендуется обновить свои плагины.
Прочтите предупреждение безопасности Wordfence:
Рекомендованное изображение: Shutterstock/Tithi Luadthong
