Неправильные конфигурации плагина позволяют повысить привилегии и создать профиль администратора.
Согласно новому Для просмотра ссылки Войди
Houzez — это плагин тарифа премиум, предлагающий простое управление объявлениями и удобное обслуживание клиентов. На сайте производителя утверждается, что он обслуживает более 35 000 клиентов в сфере недвижимости.
Ошибки были обнаружены исследователем угроз Для просмотра ссылки Войди
Отчёт Patchstack предупреждает, что некоторые веб-сайты не применили обновление безопасности, и субъекты угроз активно используют эти недостатки в продолжающихся атаках. И на данный момент большое количество атак исходит с CVE-2023-26540 (CVSS: 9.8) связана с неправильной конфигурацией безопасности и может быть использована удаленно неавторизованным хакером для повышения привилегий. Проблема затрагивает плагин Houzez версии 2.7.1 и выше. Исправление доступно в версии Houzez 2.7.2 или выше.[*] Для просмотра ссылки Войди
По словам Джонга, хакеры используют эти уязвимости, отправляя запрос на конечную точку, которая прослушивает запросы на создание учетной записи. Из-за ошибки в проверке валидности на стороне сервера запрос может быть составлен таким образом, чтобы создать на сайте пользователя-администратора, что позволяет злоумышленнику получить полный контроль над сайтом WordPress.
В атаках, замеченных Patchstack, злоумышленники загружали бэкдор, способный выполнять команды, размещать рекламу на сайте или перенаправлять трафик на другие вредоносные сайты. После этого киберпреступники могут делать с сайтом все, что захотят, но обычно они загружают вредоносный плагин, содержащий бэкдор.
- Источник новости
- www.securitylab.ru