Меню
Критична уязвимост в многоезичната приставка WPML за WordPress може да изложи над един милион уебсайта на риск от отдалечено изпълнение на код (RCE).
Проследена като CVE-2024-6386 (CVSS оценка 9,9), грешката може да бъде използвана от нападател с права на ниво сътрудник, обяснява изследователят, който е докладвал за проблема.
Изследователят отбелязва, че WPML разчита на шаблони Twig за визуализиране на съдържанието на shortcode, но не обработва правилно входните данни, което води до инжектиране на шаблони от страна на сървъра (SSTI).
Изследователят е публикувал код за проверка на концепцията (PoC), който показва как уязвимостта може да бъде използвана за RCE.
„Както при всички уязвимости с отдалечено изпълнение на код, това може да доведе до пълно компрометиране на сайта чрез използване на уебшелове и други техники“, обясни Defiant, фирмата за сигурност на WordPress, която улесни разкриването на дефекта пред разработчика на плъгина.
CVE-2024-6386 е отстранена във версия 4.6.13 на WPML, която беше пусната на 20 август. Препоръчваме на потребителите да актуализират до версия 4.6.13 на WPML възможно най-скоро, като се има предвид, че PoC кодът, насочен към CVE-2024-6386, е публично достъпен.
Все пак трябва да се отбележи, че OnTheGoSystems, поддържащият плъгина, омаловажава сериозността на уязвимостта.
„Тази версия на WPML поправя уязвимост в сигурността, която може да позволи на потребители с определени права да извършват неоторизирани действия. Малко вероятно е този проблем да възникне в реални сценарии. Той изисква потребителите да имат права за редактиране в WordPress, а сайтът трябва да използва много специфична настройка“, отбелязва OnTheGoSystems.
WPML се рекламира като най-популярната приставка за превод за сайтове на WordPress. Тя предлага поддръжка за над 65 езика и функции за работа с няколко валути. Според разработчика плъгинът е инсталиран на над един милион уебсайта.
АБОНИРАЙТЕ СЕ ЗА НАШИЯ Е-БЮЛЕТИН И ПОЛУЧАВАЙТЕ НОВИНИ И СЪВЕТИ НА ТЕМА КИБЕРСИГУРНОСТ.
© 2022 Фондация “Киберсигурност за Всеки” с ЕИК 206932045. Всички права запазени. Политики за поверителност.
ж.к. Гео Милев бл. 117, вх.А
София 1113, България
support[@]e-security.bg
Фондация “Киберсигурност за Всеки” с ЕИК 206932045 е ЮЛНЦ в обществена полза, регистрирано в ЕС, работещо в съответствие с мисията и целите си.
Моля, имайте предвид, че всички споменати продукти и/или имена на компании са търговски марки ™ или ® на съответните им притежатели. Уебсайтът/фондацията няма никаква свързаност и/или одобрение за/от тях – тези търговски марки се използват само за образователни цели като примери. Настоящият уебсайт е онлайн информационна платформа, управлявана от доброволна фондация в обществена полза. Благодарим ви, че сте тук и за всякакви допълнителни въпроси, не се колебайте да се свържете с нас.
Мисията на Фондация “Киберсигурност за Всеки” е да допринесе за подобряване на киберсигурността, информационна сигурност и защита на системите и да повиши културата на обществото и организациите по тези и свързани с тях теми. Ние насърчаване безопасността и поверителността на потребителите, като повишаваме осведомеността, информираме за най-добрите и нови практики и помагаме на хора и организации да преодолеят съвременните предизвикателства за сигурността на мрежата и опазването на техните дигиталните активи.
На посоченият от Вас e-mail е изпратено съобщение за потвърждаване на абонамента.
Моля, проверете електронната си поща за да потвърдите.
