Специалисты по информационной безопасности обнаружили критическую уязвимость в плагине wpDiscuz, который сейчас установлен более чем на 70 тыс. сайтах WordPress. Эксплуатация найденной ошибки позволяет киберпреступникам удаленно выполнять код после загрузки произвольных файлов на серверы, где размещены уязвимые веб-ресурсы.
wpDiscuz – плагин WordPress, который представлен в виде альтернативы Disqus и Jetpack Comments. Его основное предназначение – обеспечение системы комментариев в реальном времени, хранение комментариев в локальной базе данных.
Эксперты из компании Wordfence сообщили о найденной уязвимости разработчикам wpDiscuz, после чего те максимально оперативно исправили проблему, выпустив соответствующий патч 23 июля (через 4 дня после получения сообщения от специалистов). Плагин был обновлен до версии 7.0.5, потому что в версии 7.0.4 разработчики устранить уязвимость полностью не смогли.
По предварительным оценкам, уязвимость системы безопасности на сайте WordPress, который использует плагин wpDiscuz версии 7.0.4 и ниже, является критической. Она получила 10 из 10 баллов по классификатору CVSS.
Хлои Чемберлен, аналитик киберугроз компании Wordfence, отметила: «При эксплуатации данной уязвимости киберпреступники могут выполнять команды на сервере, проходить через аккаунт хостинга для последующего заражения любых веб-ресурсов, которые были размещены в этой учетной записи, с помощью вредоносного кода. Подобный подход позволяет киберпреступнику получить 100%-ный контроль над каждым сайтом, который размещен на сервере».
Несмотря на то, что разработчики оперативно исправили проблему, до сих пор более 45 тыс. пользователей остаются уязвимыми для проведения кибератак на них. Сообщается, что обновленную версию wpDiscuz установили только 25 тыс. пользователей из 70 тыс., которые активно пользуются плагином на своих сайтах.
Пользователям wpDiscuz настоятельно рекомендуется обновить плагин до новой версии в предельно сжатые сроки, чтобы не допустить развитие возможных атак в их отношении для захвата учетных записей хостинга, потому что для киберпреступников известные уязвимости плагинов WordPress – это активная площадка для неправомерной деятельности.
