- Регистрация
- 8 Апр 2019
- Сообщения
- 72
- Баллы
- 0
- Общие продажи
- 0$
- Общие покупки
- 0$
Серьезная уязвимость в WordPress-плагине для отображения рекомендованных постов эксплуатируется злоумышленниками, перенаправляющими посетителей взломанных сайтов на страницу ложной техподдержки. Об этом сообщили специалисты компании Wordfence и эксперты Sucuri. Баг в Yuzo Related Posts позволяет неавторизованному киберпреступнику провести XXS-атаку и разместить вредоносный скрипт на целевом веб-ресурсе. Проблемное расширение уже удалено из репозитория, однако остается установленным на более чем 60 тыс. площадках.
Как выяснили специалисты, создатели плагина допустили ошибку при использовании оператора is_admin() для запуска одной из подсистем программы с административными привилегиями. В результате некорректного применения команды нападающий имеет возможность отправить POST-запрос на целевой сайт и сохранить вредоносный скрипт в параметрах настройки плагина. Модифицированный код будет внедрен на всех страницах веб-ресурса, где отображаются списки рекомендованных публикаций.
Баг был отловлен ИБ-специалистами 30 марта, после чего администрация официального репозитория WordPress заблокировала доступ к загрузке плагина. Тем не менее тысячи сайтов по-прежнему используют разработку и остаются уязвимыми для атаки. Этим не преминули воспользоваться злоумышленники, нападающие на веб-ресурсы с установленным расширением.
По данным экспертов, атаки начались 10 апреля этого года, после того как PoC-эксплойт утек в Сеть. В рамках текущей кампании киберпреступники внедряют на сервер скрипт, переадресующий посетителя на мошеннический сайт, однако ИБ-специалисты отмечают, что при помощи той же техники можно произвести дефейс или скомпрометировать учетные записи администратора.
Домен и IP-адрес сервера, на котором размещен вредоносный скрипт, совпадает с данными площадки, задействованной в атаках на пользователей плагинов Social Warfare и Easy WP SMTP. Кампания, эксплуатирующая бреши в этих расширениях, была зафиксирована в начале марта, после того как информация о багах утекла в Интернет. Разработчики выпустили обновления для своих продуктов, однако злоумышленники продолжили сканировать Сеть в поисках непропатченных сайтов.
