Было выпущено предупреждение об уязвимости двух тем WordPress, обнаруженных на ThemeForest, которые могут позволить хакеру удалить произвольные файлы и внедрить вредоносные скрипты на веб-сайт.
Содержание
Две темы WordPress проданы на ThemeForest
Две темы WordPress с уязвимостями продаются на ThemeForest, и в общей сложности их продажи превысили полмиллиона.
Две темы:
- Тема Betheme для WordPress (306 362 продажи)
- The Enfold – адаптивная многоцелевая тема для WordPress (260 607 продаж)
Уязвимость темы Betheme для WordPress
Wordfence выпустил предупреждение о том, что тема Betheme содержит уязвимость PHP Object Injection, которая оценена как высокая угроза.
Wordfence был осторожен в своем описании уязвимости и не предоставил никаких подробностей о конкретном недостатке. Однако в контексте темы WordPress уязвимость PHP Object Injection обычно возникает, когда вводимые пользователем данные не фильтруются (дезинфицируются) должным образом для нежелательных загрузок и вводимых данных.
Вот как это описал Wordfence:
«Тема Betheme для WordPress уязвима к внедрению PHP-объектов во всех версиях до 27.5.6 включительно через десериализацию ненадежного ввода мета-значения записи 'mfn-page-items'. Это позволяет аутентифицированным злоумышленникам с доступом уровня участника и выше внедрять PHP-объект. В уязвимом плагине нет известной цепочки POP.
Если цепочка POP присутствует через дополнительный плагин или тему, установленную в целевой системе, она может позволить злоумышленнику удалить произвольные файлы, извлечь конфиденциальные данные или выполнить код».
Была ли исправлена тема Betheme?
Тема Betheme для WordPress получила патч 30 августа 2024 года. Но в рекомендациях Wordfence это не указано. Возможно, что рекомендации необходимо обновить, не уверен. Тем не менее, пользователям темы Enfold рекомендуется рассмотреть возможность обновления своей темы до последней версии, которая является версией 27.5.7.1.
The Enfold – адаптивная многоцелевая тема для WordPress
Тема Enfold Responsive Multi-Purpose WordPress содержит другой недостаток и получила более низкий рейтинг серьезности 6.4. При этом издатель темы не выпустил исправление для уязвимости.
В теме WordPress был обнаружен хранимый межсайтовый скриптинг (XSS) из-за уязвимости, возникшей из-за отсутствия возможности очистки входных данных.
Wordfence описывает уязвимость следующим образом:
«Тема Enfold – Responsive Multi-Purpose Theme для WordPress уязвима для хранимого межсайтового скриптинга через параметры 'wrapper_class' и 'class' во всех версиях до 6.0.3 включительно из-за недостаточной очистки ввода и экранирования вывода. Это позволяет аутентифицированным злоумышленникам с доступом уровня Contributor и выше внедрять произвольные веб-скрипты на страницы, которые будут выполняться всякий раз, когда пользователь обращается к внедренной странице».
Уязвимость Enfold не была исправлена
The Enfold – Responsive Multi-Purpose Theme for WordPress не была исправлена на момент написания этой статьи и остается уязвимой. Журнал изменений, документирующий обновления темы, показывает, что она последний раз обновлялась 19 августа 2024 года.
Скриншот журнала изменений темы WordPress Enfold
Enfold – адаптивная многоцелевая тема для WordPress на момент написания статьи не была исправлена и остается уязвимой.
В своем предупреждении Wordfence предупреждает:
«Известного исправления нет. Пожалуйста, внимательно изучите сведения об уязвимости и примените меры по ее смягчению, исходя из толерантности к риску вашей организации. Возможно, лучше всего удалить уязвимое программное обеспечение и найти замену».
Ознакомьтесь с рекомендациями:
