С помощью плагина WordPress «MW WP Form» разработчики сайтов могут создавать различные формы и вставлять их на страницу с помощью короткого кода. Плагин выводит форму с помощью шорткода, для удобства.
Однако именно эта функция «MW WP Form» имеет критический пробел в безопасности, как сообщают эксперты Wordfence. Это означает, что злоумышленники могут использовать его для загрузки и выполнения вредоносного кода на сайте с целью получения конфиденциальных данных посетителей сайта. Плагин, конечно, имеет собственную внутреннюю защиту от таких атак, которая ищет потенциально опасные типы файлов во время попыток загрузки. Но по данным Wordfence, этот защитный инструмент не работает должным образом. Такие файлы распознаются и соответствующие события фиксируются, однако загрузка файлов все равно происходит нормально, несмотря на предупреждение системы.
Это означает, что злоумышленники могут загрузить любые файлы PHP, а затем получить к ним доступ. Это позволит им инициировать выполнение файла на сервере и, таким образом, обеспечить удаленное выполнение кода. Обязательным условием эксплуатации уязвимости безопасности является активация опции «Сохранить данные запроса в базе данных» в настройках формы.
Wordfence рассматривает эту уязвимость как довольно большую угрозу. Уязвимость классифицирована как критическая с рейтингом 9,8 из 10 баллов. Но есть и хорошие новости: через несколько дней после обнаружения и уведомления Wordfence разработчики плагина выпустили обновление, исправляющее уязвимость безопасности. Все версии плагина WordPress «MW WP Form» до 5.0.1 включительно подвержены уязвимости в безопасности. Предоставленная версия патча имеет номер версии 5.0.2. Wordfence призывает всех пользователей плагина, который активен на более чем 200 000 сайтах WordPress, немедленно обновить его.