Главное:
- Обнаружена критическая уязвимость в плагине Really Simple Security для WordPress.
- Уязвимость может привести к компрометации более 4 миллионов сайтов.
- Разработчики выпустили обновления для устранения уязвимости в версиях плагина.
Обнаружение уязвимости
Недавно команда исследователей по информационной безопасности из компании Defiant обнаружила серьезную уязвимость в плагине Really Simple Security для WordPress. Эта уязвимость, получившая индекс CVE-2024-10924, была оценена на 9,8 баллов по шкале CVSS, что указывает на её высокую степень риска. Данная ситуация является тревожной для владельцев сайтов на платформе WordPress, так как потенциально под угрозой находится целых 4 миллиона веб-ресурсов, использующих этот плагин для повышения безопасности.
Специалисты подтверждают, что уязвимость связана с некорректной обработкой аутентификации. Она позволяет неавторизованным пользователям обойти систему аутентификации и получить доступ к учетным записям, включая права администратора. Атака может быть осуществлена в версиях плагина от 9.0.0 до 9.1.1.1, как в бесплатной, так и в платной версии.
Технические детали и последствия
Уязвимость связана с ошибкой в функции check_login_and_get_user(), которая отвечает за верификацию пользователей. Если login_nonce недействителен, функция не отклоняет запрос, а вызывает authenticate_and_redirect(), а это может привести к аутентификации пользователя всего лишь на основе ID. Это является серьезным нарушением, особенно для администраторов сайтов, использующих двухфакторную аутентификацию, которая на самом деле должна обеспечивать дополнительный уровень защиты.
Стоит отметить, что данные о киберугрозах от исследователей становятся все более актуальными. Согласно недавнему отчету, более 30% всех атак на веб-сайты происходят через уязвимости в подключаемых модулях и плагинах. Владельцам сайтов следует принимать меры предосторожности, постоянно обновляя программное обеспечение и проверяя наличия уязвимостей.
Рекомендации разработчиков
После обнаружения уязвимости, разработчики Really Simple Security были уведомлены и активно работали над созданием патчей. Обновления для плагина были выпущены 12 ноября, позволяя администраторам защитить свои сайты от потенциальных угроз. Важно, что разработчики совместно с командой WordPress.org предприняли шаги для принудительного обновления уязвимых версий плагина до безопасной версии 9.1.2.
Владельцам сайтов рекомендовано незамедлительно обновить плагин до последней версии для минимизации рисков. Обновление плагина является критически важной задачей для поддержания безопасности веб-ресурсов и защиты данных пользователей. Как показывает практика, игнорирование обновлений может привести к серьезным последствиям для бизнеса и его репутации.
Добавить комментарий