Sucuri forskere kom bare på tværs af en alvorlig sårbarhed, der påvirker WordPress website databaser. Mere specielt, en WordPress galleri plugin med mere end 1 million aktive installationer har vist sig at have en alvorlig SQL injektion fejl.
forskerne sige at:
Mens han arbejdede på WordPress plugin NextGen Gallery, vi opdagede en alvorlig SQL Injection sårbarhed. Denne sårbarhed giver en ikke-godkendt bruger at få fat i data fra ofrets hjemmeside database, herunder følsomme brugeroplysninger.
Svær WordPress Plugin NextGen Gallery Sårbarhed fundet
Fejlen pågældende giver en ikke-godkendt bruger til høst data fra en målrettet hjemmeside database, følsomme brugeroplysninger inkluderet. I betragtning af alvoren af problemet, fejlen er blevet bedømt kritisk. Website admins, der bruger en sårbar version af plugin opfordres til at opdatere den med det samme.
Relaterede: Android topper 2016 Top 50 Sårbarheder Liste med 523 Bugs
Ifølge Juice, sårbarheden kan udnyttes via to betingelser: når en admin bruger en NextGen Basic TagCloud galleri, eller når hjemmesiden giver bidragydere til at indsende indlæg til gennemsyn.
eksisterede Denne sårbarhed fordi NextGen Gallery tilladt forkert desinficeres brugerinput i en WordPress forberedt SQL-forespørgsel. Det er ligesom at tilføje brugerinput inde i en rå SQL-forespørgsel. Under henvisning til en sådan et angreb vektor, en ondsindet skuespiller kunne lække punkterede passwords og WordPress hemmelige nøgler i visse konfigurationer, selskabet forklarede.
Endvidere, en ondsindet skuespiller ville simpelthen nødt til at drage fordel af en $ container_ids streng i for udnyttelse skal udløses. Dette kan gøres enten ved at ændre galleriet URL NextGen Basic TagCloud eller ved at bruge tag galleri shortcode.
Med denne viden, en ikke-godkendt angriber kunne tilføje ekstra sprintf / printf direktiver til SQL-forespørgslen og bruge $ wpdb-> forberede adfærd for at tilføje hacker-kontrollerede kode til henrettet forespørgsel.
Relaterede: WordPress Bare Fixed Serious Zero-Day Bug In Versioner 4.7 og 4.7.1
Bare i sidste måned, WordPress hemmelighed fast en alvorlig zero-day fejl. Fejlen tilladt alle sider på sårbare hjemmesider, der skal ændres. Også, besøgende kunne er blevet omdirigeret til ondsindede websteder, der fører til flere sikkerhedsrelaterede komplikationer. WordPress udskudt den offentlige meddelelse i en uge og opfordrer nu alle involverede til at opdatere.
Milena Dimitrova
En inspireret forfatter og indholdschef, der har været hos SensorsTechForum siden projektets start. En professionel med 10+ års erfaring med at skabe engagerende indhold. Fokuseret på brugernes privatliv og malware udvikling, hun tror stærkt på en verden, hvor cybersikkerhed spiller en central rolle. Hvis almindelig sund fornuft giver ingen mening, hun vil være der til at tage noter. Disse noter senere kan blive til artikler! Følg Milena @Milenyim
Følg mig: