WordPress saytlarini buzish uchun tashlab ketilgan plagindagi zaiflikdan foydalanilmoqda.
Plagin har qanday ruxsatsiz foydalanuvchi tomonidan masofadan kirish mumkin bo’lgan AJAX so’nggi nuqtasini o’z ichiga oladi.
Defiant mutaxassislari foydalanuvchi xayriyalarini to’plash va boshqarish uchun Total Donations plaginidan foydalanadigan WordPress veb-saytlariga qilingan hujumlarni aniqladilar. Plagin ishlab chiqaruvchisi CodeCanyon o’tgan yilning may oyida qo’llab-quvvatlashni to’xtatdi, bu esa kodda yamoqlanmagan zaiflikni qoldirdi, bu esa kiberjinoyatchilar tomonidan foydalanilgan. Total Donations-ning barcha versiyalari zaiflikka moyil (CVE-2019-6703). Tadqiqotchilarning fikriga ko’ra, plagin kodi plaginni ham, u o’rnatilgan veb-saytni ham tashqi manipulyatsiyaga duchor qiladigan bir nechta dizayn kamchiliklariga ega. Xususan, plagin AJAX so’nggi nuqtasini o’z ichiga oladi, unga har qanday ruxsatsiz foydalanuvchi masofadan kirishi mumkin. Komponent plagin fayllaridan birida joylashgan, ya’ni buzib kirishning oldini olish uchun plaginni shunchaki o’chirib qo’yish o’rniga uni serverdan butunlay olib tashlash kerak bo’ladi.
Oxirgi nuqta tajovuzkorga sayt sozlamalarini o’zgartirish, plagin bilan bog’liq sozlamalarni o’zgartirish, xayriya hisobini o’zgartirish yoki Mailchimp pochta ro’yxatlarini ajratib olish imkonini beradi.
Tadqiqotchilarning fikriga ko’ra, ishlab chiquvchilar bilan bog’lanish va muammoni ularning e’tiboriga havola qilish bo’yicha barcha urinishlar muvaffaqiyatsiz bo’lgan. Total Donations pullik xizmat bo’lgani uchun uning foydalanuvchilar bazasi kichik. Biroq, plagin katta foydalanuvchilar bazasiga ega veb-saytlarga o’rnatilishi mumkin, bu esa ularni kiberjinoyatchilar uchun asosiy nishonga aylantirishi mumkin.
Eslatib o’tamiz, mashhur WordPress plaginini ishlab chiqish guruhining sobiq xodimi rasmiy WPML veb-saytini buzib kirdi va mijozlarga plaginda bir nechta yamalmagan zaifliklar mavjudligi haqida xabar yubordi.
