На этой наделе разработчики системы управления контентом WordPress выпустили версию 6.0.2, в которой содержатся патчи для трех багов, включая опасную уязвимость, допускающую инъекцию SQL.
Проблема затрагивает функциональность WordPress Link и актуальна только для старых установок, поскольку на новых эти опции отключены по умолчанию. Тем не менее стоит учитывать, что уязвимые функции могут быть активированы на миллионах WordPress-сайтов, даже если администраторы установили более свежие версии движка.
Брешь получила 8 баллов по шкале CVSS. Однако ее достаточно сложно использовать для атаки, если злоумышленник имеет дело с конфигурацией по умолчанию. Несмотря на то что эксплуатация требует прав администратора, на целевом сайте могут быть установлены плагины или темы, позволяющие повысить привилегии.
«Уязвимые версии веб-ресурсов не могут корректно обработать аргумент “limit” в запросе на получение ссылки в функции “get_bookmarks“», — объясняют в команде Wordfence.
При дефолтной конфигурации движка только старенький виджет Links использует функцию таким небезопасным образом. Но благодаря защитным мерам эксплуатация уязвимости все равно заставит атакующего «попотеть».
Оставшиеся две бреши, устраненные в Wordpress 6.0.2, получили среднюю степень риска. Это проблемы межсайтового скриптинга (XSS), затрагивающие функцию “the_meta” и вызванные ошибками при деактивации и удалении плагинов.
Успешная эксплуатация этих багов может привести к выполнению JavaScript-кода. Всем администраторам сайтов на WordPress рекомендуется установить версию WordPress 6.0.2 как можно скорее.
