Luka w popularnej wtyczce WordPress. Miliony witryn zagrożone cyberatakami

Popularna wtyczka WordPress okazała się wrażliwa na ataki hakerskie. Użytkownicy, którzy korzystają z Advanced Custom Fields są proszeni o zaktualizowanie jej do wersji 6.1.6, gdyż poprzednie iteracje miały luki w zabezpieczeniach.

WordPress jest napisanym w języku PHP systemem zarządzania treścią, który projektowano do obsługi blogów. Rozpowszechniany jest na licencji GNU, więc korzystać z niego można bezpłatnie, choć ma płatną wersję Pro. WordPress jest niezwykle popularny i według danych firmy analitycznej W3Techs, na tym systemie we wrześniu 2022 roku bazowało aż 43 proc. stron internetowych na świecie.

W czym problem?

Problem, o którym mowa został oznaczony identyfikatorem CVE-2023-30777 i dotyczy skryptu, który może zostać wykorzystany do umieszczenia dowolnych wykonywalnych skryptów w niezabezpieczonych stronach internetowych. Wadliwa wtyczka jest dostępna zarówno w bezpłatnej wersji systemu, jak i w wersji Pro, a zainstalowano ją już ponad 2 miliony razy. Problem zgłoszono WordPressowi 2 maja 2023 roku.

Ta luka w zabezpieczeniach umożliwia każdemu nieuwierzytelnionemu użytkownikowi kradzież poufnych informacji o celu, w tym przypadku eskalacji uprawnień w witrynie WordPress, poprzez nakłonienie uprzywilejowanego użytkownika do odwiedzenia spreparowanej ścieżki URL

Rafie Muhammad, badacz Patchstack

Ataki mają miejsce, gdy ofiary są nakłaniane do kliknięcia fałszywego łącza wysłanego e-mailem albo poprzez inny komunikator, co powoduje wysłanie złośliwego kodu do podatnej na ataki witryny internetowej. Konieczność zastosowania socjotechniki, by ofiara kliknęła w link sprawia, że problem nie ma takiego zasięgu i skali, dlatego cyberprzestępcy rozsyłają szkodliwy odsyłacz do jak największej liczby użytkowników.

Aktualizacja rozwiąże problem?

Zaktualizowanie wtyczki do wersji 6.1.6 powinno sprawić, że wykorzystywanie luki przestanie być możliwe, jednak nadal należy uważać na linki przesyłane przez podejrzane adresy mailowe. Nowe luki w oprogramowaniu tego typu są znajdowane regularnie, jednak nie każda z nich jest tak wysoce szkodliwa. Niemniej hakerzy bywają niezwykle kreatywni w wykorzystywaniu tych luk.

Podziel się postem :)

Najnowsze:

Nauka

GPT-5 będzie „na poziomie osoby z doktoratem”? OpenAI zachwala nowy model

Model GPT-5 może w pewnych konkretnych zadaniach wykazywać się „inteligencją” na poziomie doktora nauk. Tak przynajmniej wynika z deklaracji ze strony OpenAI. Firma traktuje swoje kolejne modele sztucznej inteligencji jako przykład rozwoju podobny do tego, który ma miejsce w przypadku nauki w szkole i na uczelni.

Bezpieczeństwo

Komunikat CSIRT KNF. Atak na użytkowników telefonów iPhone

CSIRT KNF ostrzega użytkowników iPhone’ów z aktywną obsługą wiadomości iMessage przed trwającą kampanią phishingową. Oszuści wykorzystują nośny wątek “nieodebranej paczki”, by zachęcić do kliknięcia linku. W ten sposób można trafić na fałszywą stronę InPostu, gdzie wyłudzane są dane.

Sprzęt

Komputery Copilot+ już oficjalnie dostępne w sprzedaży

Zgodnie z planami, dzisiaj laptopy Copilot+ wkraczają na rynek. Rozpoczyna się w ten sposób nowy rozdział w technologii, gdyż nie tylko mamy nową kategorię produktów, ale także nowego gracza na rynku pecetów – Qualcomm. A producent podobno działa nad kolejnymi Snapdragonami, których cena ma być tak przystępna, że urządzenia Copilot+ trafią pod strzechy.

Dodaj komentarz

Twój adres e-mail nie zostanie opublikowany. Wymagane pola są oznaczone *