» 뉴스 » 워드 프레스를위한 플러그인의 취약점으로 인한 원격 PHP 코드를 실행할 수

워드 프레스를위한 플러그인의 취약점으로 인한 원격 PHP 코드를 실행할 수

워드 프레스는보다 더에 설치에 대한 Wordfence에서 정보 보안 전문가는 광고 지대 플러그인의 취약점을 발견했다 200,000 웹 사이트. 버그는 공격자가 원격 사이트에 PHP 코드를 실행할 수 있습니다.

그는 취약점이 설치된 모든 워드 프레스 웹 사이트에 영향을 광고 삽입 2.4.21 이하.

"허용 약점은 인증 된 사용자 (가입자 이상) 플러그인 "을 사용하여 웹 사이트에 임의의 PHP 코드를 실행합니다, - 취약점을 발견하는 Wordfence에서 정보 보안 전문가를보고.

광고 삽입 - 플러그인 최적의 위치에 광고를 게재하기위한 고급 기능과 광고를 관리하기위한. 그것은 광고의 모든 유형을 지원합니다, 를 포함하여 구글 애드 센스, Google 광고 관리 (DFP – DoubleClick for Publishers에), 상황에 맞는 아마존 원주민 쇼핑 광고, Media.net, 및 배너 변경.

Wordfence 연구원에 따르면,, 취약점 관련이 의 사용 check_admin_referer () 인증을위한 기능, CSRF 공격에서 워드 프레스 사이트를 보호하기 위해 의도 된. 요구 한 시간 코드들의 기능이 확인 존재 (불필요한 처리를 방지하기 위해 사용되는 일회용 토큰 반복, 만료 또는 악의적 인 요청).

연습은 적절한 권한을 가진 사용자는 일회성 코드에 액세스 할 수 있도록 설계. 하나, 워드 프레스 개발자가 한 번 코드를 사용에 대해주의를 수신 지적 공식 문서에서 "그당신은 인증을위한 일회성 코드에 의존해서는 안, 허가 또는 액세스 제어."

한 번 코드를 사용할 수 갖는, 인증 된 공격자는 인증 검사를 무시하고 광고 지대 플러그인에서 제공하는 디버그 모드에 액세스 할 수 있습니다.

일반적으로, 이러한 디버깅 기능은 관리자 만 사용할 수 있습니다, 연구자 설명. 일부 설정을 활성화하는 경우, 거의 모든 페이지는 유효한 일회성 코드를 포함하는 자바 스크립트 코드를 포함 ai_ajax_backend 동작. 공격자는 한 타임 코드를 수신하면, 그는 디버깅을 활성화하고 임의의 PHP 코드와 악성 페이로드를 전송하여 광고 미리보기 기능을 이용할 수 있습니다.

독서  이란 정부 사이버 스파이 그룹 APT34의 또 다른 도구는 인터넷에 유출

광고 삽입 개발자는 이미 플러그인의 수정 된 버전을 발표했다.

"이것은 중요한 보안 문제로 간주됩니다, 및 웹 사이트 광고 지대를 실행 2.4.21 이하 버전으로 업데이트해야한다 2.4.22 곧", - 워드 프레스 관리자에게 Wordfence 전문가 추천.

[합계: 0    평균: 0/5]

트로이 킬러 소개

메모리 스틱에 트로이 킬러 휴대용 운반. 당신은 당신이 어디를 가든 당신의 PC가 어떤 사이버 위협에 저항 도울 수 있는지 확인하십시오.

또한 확인

의 관객 사이트에서 감지 클릭 재킹을위한 스크립트 43 만명의 사용자

총 관객 사이트에서 감지 클릭 재킹을위한 스크립트 43 하루 만 사용자

처음 클릭 재킹을 위해 정보 보안 전문가 이상의 열을의 관심을 끌었다 …

트렌드 마이크로의 취약점

트렌드 마이크로의 암호 관리자의 취약점으로 Windows 사용자를 위태롭게

SafeBreach 연구원은 트렌드 마이크로의 암호 관리자의 취약점을 발견. 이 보안 문제를 사용하여, …

회신을 남겨주