Οι hackers προσπαθούν να εκμεταλλευτούν μια ευπάθεια στο WordPress plugin Modern Events Calendar, που χρησιμοποιείται από περισσότερους από 150.000 ιστότοπους. Στόχος των επιτιθέμενων είναι να ανεβάσουν κακόβουλα αρχεία σε έναν ευάλωτο ιστότοπο και να εκτελέσουν τον κώδικα εξ αποστάσεως.
Το πρόσθετο έχει αναπτυχθεί από την Webnus και χρησιμοποιείται γενικά για την οργάνωση και διαχείριση in-person, virtual και hybrid events.
Η ευπάθεια παρακολουθείται ως CVE-2024-5441 και αναφέρθηκε στις 20 Μαΐου από τη Friderika Baranyai, κατά τη διάρκεια του Bug Bounty Extravaganza της Wordfence.
Δείτε επίσης: Το νέο Caesar Cipher Skimmer στοχεύει WordPress, Magento και OpenCart Sites
Σε μια αναφορά που περιγράφει το ζήτημα ασφάλειας, η Wordfence λέει ότι το πρόβλημα ξεκινά από την έλλειψη file type validation στη συνάρτηση «set_featured_image» του plugin Modern Events Calendar. Αυτή χρησιμοποιείται για τη μεταφόρτωση και τη ρύθμιση επιλεγμένων εικόνων για τα events.
Η συνάρτηση παίρνει μια διεύθυνση URL εικόνας και ένα post ID, προσπαθεί να πάρει το attachment ID και, αν δεν βρεθεί, κατεβάζει την εικόνα χρησιμοποιώντας τη συνάρτηση get_web_page.
Ανακτά την εικόνα χρησιμοποιώντας τα wp_remote_get ή file_get_contents και την αποθηκεύει στον κατάλογο μεταφορτώσεων του WordPress χρησιμοποιώντας τη λειτουργία file_put_contents.
Οι εκδόσεις του Modern Event Calendar έως και την 7.11.0 δεν έχουν ελέγχους για τον τύπο επέκτασης αρχείου στα μεταφορτωμένα αρχεία εικόνας, το οποίο σημαίνει ότι επιτρέπεται η μεταφόρτωση οποιουδήποτε τύπου αρχείου, συμπεριλαμβανομένων των επικίνδυνων αρχείων .PHP.
Δείτε επίσης: WordPress plugins σε κίνδυνο – Χάκερς δημιουργούν ψεύτικους λογαριασμούς διαχειριστή
Μετά τη μεταφόρτωση, αυτά τα αρχεία μπορούν να εκτελεστούν, επιτρέποντας την απομακρυσμένη εκτέλεση κώδικα στον διακομιστή. Αυτό θα μπορούσε να οδηγήσει και σε πλήρη έλεγχο του WordPress site.
Οποιοσδήποτε πιστοποιημένος χρήστης μπορεί να εκμεταλλευτεί την ευπάθεια CVE-2024-5441. Επιπλέον, εάν το plugin έχει ρυθμιστεί να επιτρέπει event submissions από μη μέλη (επισκέπτες χωρίς λογαριασμούς), η ευπάθεια μπορεί να χρησιμοποιηθεί χωρίς έλεγχο ταυτότητας.
Η Webnus διόρθωσε την ευπάθεια κυκλοφορώντας την έκδοση 7.12.0 του Modern Event Calendar.
Δεδομένου ότι γίνονται ήδη προσπάθειες εκμετάλλευσης της ευπάθειας, συνιστάται η άμεση εφαρμογή της ενημέρωσης.
Σημασία προστασίας WordPress
Η προστασία των ιστοσελίδων WordPress είναι ιδιαίτερα σημαντική για πολλούς λόγους. Αρχικά, οι ιστότοποι WordPress είναι πολύ δημοφιλείς, που σημαίνει ότι αποτελούν βασικό στόχο για τους κυβερνοεγκληματίες. Αν ο ιστότοπός σας δεν είναι προστατευμένος, μπορεί να προκληθεί σημαντική ζημιά.
Δείτε επίσης: Hackers χρησιμοποιούν νέες ευπάθειες σε WordPress plugins
Επιπρόσθετα, ένα μη προστατευόμενο site WordPress μπορεί να υπονομεύσει την εμπιστοσύνη και την αξιοπιστία που έχετε δημιουργήσει με τους πελάτες σας. Εάν τα δεδομένα τους υποκλαπούν, είναι πολύ πιθανό να προσφύγουν νομικά εναντίον σας και να στραφούν σε άλλες εταιρείες.
Η προστασία του ιστοτόπου σας είναι επίσης σημαντική για τη διατήρηση της συνοχής και της αξιοπιστίας του περιεχομένου σας. Αν ένας hacker παραβιάσει τον WordPress ιστότοπό σας και αλλοιώσει το περιεχόμενο, μπορεί να προκληθεί η εντύπωση ότι δεν ασχολείστε αρκετά με τον ιστότοπό σας.
Με άλλα λόγια, η εξασφάλιση της προστασίας του ιστοτόπου WordPress δεν είναι απλά θέμα προστασίας των δεδομένων σας – είναι θέμα διατήρησης της εμπιστοσύνης των πελατών σας, συντήρησης της φήμης της εταιρείας σας και παραμονής στην κορυφή του ανταγωνισμού.
Πηγή: www.bleepingcomputer.com
.){kind=link}