Brother
Professional
- Messages
- 2,590
- Reaction score
- 533
- Points
- 113
WordPress выпустил версию 6.4.2 с исправлением критической уязвимости безопасности, которая может быть использована злоумышленниками, объединив ее с другой ошибкой для выполнения произвольного PHP-кода на уязвимых сайтах.
"Уязвимость удаленного выполнения кода, которая не может быть использована непосредственно в ядре; однако команда безопасности считает, что существует потенциал для высокой серьезности в сочетании с некоторыми плагинами, особенно при установке на нескольких сайтах", - сказал WordPress.
Согласно компании Wordfence, занимающейся безопасностью WordPress, проблема коренится в классе WP_HTML_Token, который был представлен в версии 6.4 для улучшения синтаксического анализа HTML в редакторе блоков.
Субъект угрозы, способный использовать уязвимость PHP object injection, присутствующую в любом другом плагине или теме, чтобы связать две проблемы для выполнения произвольного кода и захвата контроля над целевым сайтом.
"Если цепочка POP [программ, ориентированных на свойства] присутствует через дополнительный плагин или тему, установленные в целевой системе, это может позволить злоумышленнику удалять произвольные файлы, извлекать конфиденциальные данные или выполнять код", - отмечала Wordfence ранее в сентябре 2023 года.
В аналогичном сообщении, выпущенном Patchstack, компания сообщила, что цепочка эксплуатаций была доступна на GitHub с 17 ноября и добавлена в проект PHP Generic Gadget Chains (PHPGGC). Пользователям рекомендуется вручную проверить свои сайты, чтобы убедиться, что они обновлены до последней версии.
"Если вы разработчик и любой из ваших проектов содержит вызовы функции unserialize, мы настоятельно рекомендуем вам заменить это чем-то другим, например кодированием / декодированием JSON с использованием PHP-функций json_encode и json_decode", - сказал технический директор Patchstack Дейв Джонг.
"Уязвимость удаленного выполнения кода, которая не может быть использована непосредственно в ядре; однако команда безопасности считает, что существует потенциал для высокой серьезности в сочетании с некоторыми плагинами, особенно при установке на нескольких сайтах", - сказал WordPress.
Согласно компании Wordfence, занимающейся безопасностью WordPress, проблема коренится в классе WP_HTML_Token, который был представлен в версии 6.4 для улучшения синтаксического анализа HTML в редакторе блоков.
Субъект угрозы, способный использовать уязвимость PHP object injection, присутствующую в любом другом плагине или теме, чтобы связать две проблемы для выполнения произвольного кода и захвата контроля над целевым сайтом.
"Если цепочка POP [программ, ориентированных на свойства] присутствует через дополнительный плагин или тему, установленные в целевой системе, это может позволить злоумышленнику удалять произвольные файлы, извлекать конфиденциальные данные или выполнять код", - отмечала Wordfence ранее в сентябре 2023 года.
В аналогичном сообщении, выпущенном Patchstack, компания сообщила, что цепочка эксплуатаций была доступна на GitHub с 17 ноября и добавлена в проект PHP Generic Gadget Chains (PHPGGC). Пользователям рекомендуется вручную проверить свои сайты, чтобы убедиться, что они обновлены до последней версии.
"Если вы разработчик и любой из ваших проектов содержит вызовы функции unserialize, мы настоятельно рекомендуем вам заменить это чем-то другим, например кодированием / декодированием JSON с использованием PHP-функций json_encode и json_decode", - сказал технический директор Patchstack Дейв Джонг.
