20.11.2018

Уязвимость в WordPress, связанная с криптомайнингом

В популярном плагине для административной панели WordPress исправлена вредоносная уязвимость, которая давала возможность пользователям сайтов на WordPress, редактировать данные без наличия суперправ.

По словам специалистов из WebARX Security, в плагине AMP (Ускоренные мобильные страницы) нет проверки уровня прав авторизованного пользователя. Таким образом, доступ к API получает любой авторизованный пользователь.

Активация программного интерфейса происходила с помощью технологии Ajax. Они выполняют роль «зацепки», который администраторы используют для взаимодействия с функционалом для управления сайтом.

Исследователи считают, что, у этой CMS есть возможность регистрации Ajax, что позволяет пользоваться функционалом напрямую. Основная проблема в том, что эти “крючки” может активировать любой пользователь (вне зависимости от его прав). Злоумышленники меняли под себя настройки плагина. Таким образом размещали рекламу, добавляли произвольный HTML или вредоносные скрипты.

Для защиты от уязвимости была сделана специальная заплатка. Во время работ над устранением проблемы, плагин временно был не доступен для пользователей.