Plugin-ul FancyBox-for-WordPress prezintă o vulnerabilitate critică

Articol postat de:

wordpress vulnerability

Descriere

WordPress este o platformă gratuită, open-source, utilizată în crearea de blog-uri, dar și un sistem de administrare a conținutului sau CMS (en: Content Management System), având în prezent peste 30.000 de plugin-uri ce le oferă utilizatorilor posibilități multiple de personalizare a website-urilor. Serviciul este folosit la nivel mondial, fiind prezent în zeci de milioane de website-uri, dintre care aproximativ 550.000 folosesc plugin-ul FancyBox-for-WordPress, acesta reprezentând una dintre cele mai populare unelte folosite pentru afișarea de imagini, conținut HTML și multimedia în așa numitele „lightbox” ce plutesc deasupra paginii web.

Recent, cercetătorii companiei Sucuri au descoperit o vulnerabilitate a plugin-ului  FancyBox-for-WordPress ce permite atacatorilor încărcarea de conținut malițios în cadrul paginilor victimă.

Impact

În prezent, vulnerabilitate este intens exploatată de către atacatori din întreaga lume. De altfel, vulnerabilitate a fost observată în urma a numeroase alerte de infectare cu malware a website-urilor WordPress. Site-urile afectate foloseau plugin-ul FancyBox-for-WordPress, prin care se executa o redirecționare către ‘203koko’.

Atacurile ce încearcă exploatarea acestei vulnerabilități arată astfel:

6.4.76.174 – – [04/Feb/2015:00:25:09 -0500] “POST /wp-admin/admin-post.php?page=fancybox-for-wordpress HTTP/1.1″ 403 4207
INPUTBODY:action=update&mfbfw%5Bext.. malware payload hidden

Soluție

Specialiștii Sucuri  sugerează înlăturarea plugin-ului sau dezvoltarea unei soluții de securitate alternativă care să ajute la protejarea website-ului precum utilizarea unui Website Firewall.

Joi 05-02-2015, dezvoltatorii plugin-ului au lansat două versiuni noi pentru a înlătura vulnerabilitatea. Versiunea 3.0.3 rezolvă problema de securitate, iar în versiunea 3.0.4 sunt redenumite setările afectate de vulnerabilitatea menționată.

Sursa foto: www.thehackernews.com
Sursa articolului: http://cert.gov.md/


Add Comment Register



Lasă un răspuns

Adresa ta de email nu va fi publicată. Câmpurile necesare sunt marcate *


*

Poți folosi aceste etichete HTML și atribute: <a href="" title=""> <abbr title=""> <acronym title=""> <b> <blockquote cite=""> <cite> <code> <del datetime=""> <em> <i> <q cite=""> <strike> <strong>