Zbog greške u WordPress dodatku ugroženo 500.000 sajtova: "Hakeri mogu da preuzmu sajt"

Pošto eksploatacija ne zahteva autentifikaciju, vrlo je verovatno da će ona veoma brzo biti masovna

Automattic, kompanija koja stoji iza WordPress-a, objavila je bezbednosno ažuriranje za popularni WooCommerce Payments dodatak za WordPress, koji je instaliran na više od pola miliona veb sajtova.

Zakrpa rešava problem sa kritičnom ranjivošću koja omogućava napadačima da bez autentifikacije dobiju administratorski pristup ranjivim sajtovima.

Preporučujemo

Grešku je otkrio Majkl Macolini iz GoldNetworka, a ona utiče na verzije WooCommerce Payments od 4.8.0 do 5.6.1, prenosi Informacija.

Greška bi mogla da omogući "neautorizovanom napadaču da se lažno predstavlja kao administrator i potpuno preuzme veb sajt bez potrebe za bilo kakvom interakcijom sa korisnikom ili društvenim inženjeringom", rekli su iz Wordfence-a, kompanije za zaštitu WordPressa.

Pošto eksploatacija ne zahteva autentifikaciju, vrlo je verovatno da će ona veoma brzo biti masovna.

WooCommerce kaže da nije pronađen nijedan dokaz da je ova kritična greška eksploatisana u napadima, i da ne veruje da su podaci o bilo kojoj online prodavnici ili klijentima kompromitovani kao rezultat ove ranjivosti.

"Poslali smo ispravku i radili sa timom za dodatke WordPressa na automatskom ažuriranju sajtova koji koriste WooCommerce Payments 4.8.0 do 5.6.1 na zakrpljene verzije. Ažuriranje se trenutno automatski uvodi u što je moguće više online prodavnica", rekli su iz WooCommerce-a.

Zakrpljene verzije uključuju 4.8.2, 4.9.1, 5.0.4, 5.1.3, 5.2.2, 5.3.1, 5.4.1, 5.5.2 i 5.6.2.

(Telegraf.rs)