Information-Security-Spezialisten von Wordfence haben die Verwundbarkeit der Ad-Inserter-Plugin gefunden für Wordpress installierte auf mehr als 200,000 Webseiten. Der Fehler ermöglicht es Angreifern fern PHP-Code auf der Website ausführen.
Ter Schwachstelle betrifft alle Wordpress-Websites mit installiertem ad Inserter 2.4.21 oder niedriger.„Die Schwäche erlaubt authentifizierten Benutzer (Abonnenten und oben) beliebigen PHP-Code auf Websites über das Plugin“auszuführen, - berichteten Informationen Sicherheitsexperten von Wordfence dass die Schwachstelle entdeckt.
Nach Wordfence Forscher, die Verwundbarkeit ist verwandt die Verwendung von check_admin_referer () Funktion für die Zulassung, die dazu bestimmt ist Wordpress-Seiten von CSRF-Attacken zu schützen. Diese Funktion überprüft Vorhandensein von Einmal-Codes in der Anfrage (eine einmalige Token zu verhindern, dass die Verarbeitung von unerwünschtem verwendet wiederholt, abgelaufen oder böswillige Anfragen).
Die Praxis wurde entwickelt, um sicherzustellen, dass Benutzer mit entsprechenden Rechten nur den einmaligen Code zugreifen können. jedoch, Wordpress-Entwickler erhalten Vorsicht gegen Einmalcodes und hinweisen in der offiziellen Dokumentation, dass „Sie sollten nie für die Authentifizierung auf Einmal-Codes verlassen, Autorisierung oder Zugriffskontrolle.“
Mit Einmal-Code verfügbar, authentifizierter Angreifer können die Berechtigungsprüfung umgehen und von der Ad-Inserter-Plugin zur Verfügung gestellt Zugriff auf den Debug-Modus gewinnen.
typisch, Diese Debugging-Funktionen sind nur für Administratoren verfügbar, erklären Forscher. Für den Fall, einige Einstellungen zu aktivieren, fast jeder Seite enthält JavaScript-Code, der einen gültigen Einmal-Code für das enthält ai_ajax_backend Aktion. Sobald erhält ein Angreifer einen Einmal-Code, er kann das Debugging aktivieren und die Anzeigenvorschau-Funktion ausnutzen, indem er eine schädliche Nutzlast mit beliebigem PHP-Code zu senden.
Ad Inserter-Entwickler haben bereits eine überarbeitete Version des Plugins veröffentlicht.
„Dies ist eine kritische Sicherheitsproblem betrachtet, und Websites laufen Ad Inserter 2.4.21 oder unten sollte auf die Version aktualisiert werden 2.4.22 jetzt sofort", - Wordfence Spezialisten zu Wordpress-Administratoren empfehlen.