» 뉴스 » 워드 프레스를위한 플러그인의 취약점으로 인한 원격 PHP 코드를 실행할 수

워드 프레스를위한 플러그인의 취약점으로 인한 원격 PHP 코드를 실행할 수

워드 프레스는보다 더에 설치에 대한 Wordfence에서 정보 보안 전문가는 광고 지대 플러그인의 취약점을 발견했다 200,000 웹 사이트. 버그는 공격자가 원격 사이트에 PHP 코드를 실행할 수 있습니다.

그는 취약점이 설치된 모든 워드 프레스 웹 사이트에 영향을 광고 삽입 2.4.21 이하.

"허용 약점은 인증 된 사용자 (가입자 이상) 플러그인 "을 사용하여 웹 사이트에 임의의 PHP 코드를 실행합니다, - 취약점을 발견하는 Wordfence에서 정보 보안 전문가를보고.

광고 삽입 - 플러그인 최적의 위치에 광고를 게재하기위한 고급 기능과 광고를 관리하기위한. 그것은 광고의 모든 유형을 지원합니다, 를 포함하여 구글 애드 센스, Google 광고 관리 (DFP – DoubleClick for Publishers에), 상황에 맞는 아마존 원주민 쇼핑 광고, Media.net, 및 배너 변경.

Wordfence 연구원에 따르면,, 취약점 관련이 의 사용 check_admin_referer () 인증을위한 기능, CSRF 공격에서 워드 프레스 사이트를 보호하기 위해 의도 된. 요구 한 시간 코드들의 기능이 확인 존재 (불필요한 처리를 방지하기 위해 사용되는 일회용 토큰 반복, 만료 또는 악의적 인 요청).

연습은 적절한 권한을 가진 사용자는 일회성 코드에 액세스 할 수 있도록 설계. 하나, 워드 프레스 개발자가 한 번 코드를 사용에 대해주의를 수신 지적 공식 문서에서 "그당신은 인증을위한 일회성 코드에 의존해서는 안, 허가 또는 액세스 제어."

한 번 코드를 사용할 수 갖는, 인증 된 공격자는 인증 검사를 무시하고 광고 지대 플러그인에서 제공하는 디버그 모드에 액세스 할 수 있습니다.

일반적으로, 이러한 디버깅 기능은 관리자 만 사용할 수 있습니다, 연구자 설명. 일부 설정을 활성화하는 경우, 거의 모든 페이지는 유효한 일회성 코드를 포함하는 자바 스크립트 코드를 포함 ai_ajax_backend 동작. 공격자는 한 타임 코드를 수신하면, 그는 디버깅을 활성화하고 임의의 PHP 코드와 악성 페이로드를 전송하여 광고 미리보기 기능을 이용할 수 있습니다.

독서  오스트리아의 과학자들은 자바 스크립트의 사용과 추적 브라우저의 방법을 만들어

광고 삽입 개발자는 이미 플러그인의 수정 된 버전을 발표했다.

"이것은 중요한 보안 문제로 간주됩니다, 및 웹 사이트 광고 지대를 실행 2.4.21 이하 버전으로 업데이트해야한다 2.4.22 곧", - 워드 프레스 관리자에게 Wordfence 전문가 추천.

[합계: 0    평균: 0/5]

트로이 킬러 소개

메모리 스틱에 트로이 킬러 휴대용 운반. 당신은 당신이 어디를 가든 당신의 PC가 어떤 사이버 위협에 저항 도울 수 있는지 확인하십시오.

또한 확인

Heroku가 클라우드 플랫폼에 MageCart

연구진은 여러 MageCart 웹 스키머에 Heroku가 클라우드 플랫폼 발견

Researchers at Malwarebytes reported about finding several MageCart web skimmers on the Heroku cloud platform

안드로이드 스파이웨어 CallerSpy

안드로이드 채팅 응용 프로그램으로 CallerSpy 스파이웨어 마스크

트렌드 마이크로의 전문가들은 악성 코드 CallerSpy 발견, 안드로이드 채팅 응용 프로그램으로하는 마스크와, …

회신을 남겨주