Как уязвимости WordPress ядра поражают миллионы сайтов? Узнайте сейчас!
Здравствуйте, уважаемые друзья и гости блога Pribylwm.ru! Что Вы знаете про уязвимости WordPress ядра? Смотрим и исправляем! WordPress объявил об уязвимостях высокого уровня угрозы, которые были представлены самой основной командой разработчиков.
WordPress объявил об исправлении четырех уязвимостей, которые оцениваются как 8 по шкале от 1 до 10. Уязвимости находятся в самом ядре WordPress и связаны с недостатками, внесенными самой командой разработчиков WordPress.
Четыре уязвимости WordPress
В объявлении WordPress не было подробностей о том, насколько серьезными были уязвимости, и подробностей было мало.
Однако Национальная база данных уязвимостей правительства США, где уязвимости регистрируются и публикуются, оценила уязвимости до 8,0 по шкале от 1 до 10, где десять представляют самый высокий уровень опасности.
Четыре уязвимости:
- Внедрение SQL из-за отсутствия очистки данных в WP_Meta_Query (высокий уровень серьезности, 7,4)
- Внедрение объектов с проверкой подлинности на нескольких узлах (уровень серьезности оценивается как средний 6,6)
- Сохраненный межсайтовый скриптинг (XSS) через аутентифицированных пользователей (высокий уровень серьезности, 8,0)
- SQL-инъекция через WP_Query из-за неправильной очистки (уровень серьезности оценивается как высокий, 8,0)
Три из четырех уязвимостей были обнаружены исследователями безопасности за пределами WordPress. WordPress понятия не имел, пока они не были уведомлены.
Уязвимости были раскрыты WordPress в частном порядке, что позволило WordPress исправить проблемы до того, как они стали широко известны.
Разработка WordPress ускорилась в опасном направлении?
Разработка WordPress замедлилась в 2021 году, потому что они не смогли завершить работу над последней версией 5.9, в результате чего эта версия WordPress была перенесена на более поздний срок в 2022 году .
В WordPress ходили разговоры о замедлении темпов разработки из-за беспокойства о способности идти в ногу.
Сами разработчики ядра WordPress в конце 2021 года забили тревогу по поводу темпов разработки, умоляя дать им больше времени.
Один из разработчиков предупредил:
«В целом, похоже, что сейчас мы торопим события опасным образом».
Учитывая, что WordPress не может придерживаться своего собственного графика выпусков и обсуждает сокращение своего календаря выпусков на 2022 год с четырех выпусков до трех, необходимо задаться вопросом о темпах разработки WordPress и о том, следует ли приложить больше усилий, чтобы гарантировать, что уязвимости не будут непреднамеренно выпущены для паблика.
Проблемы с очисткой данных в WordPress
Санитизация данных — это способ контролировать, какая информация поступает через входы и в базу данных.
База данных — это то, что содержит информацию о сайте, включая пароли, имена пользователей, информацию о пользователях, контент и другую информацию, необходимую для функционирования сайта.
В документации WordPress описывается очистка данных:
«Санитизация — это процесс очистки или фильтрации Ваших входных данных. Независимо от того, поступают ли данные от пользователя, API или веб-службы, Вы используете очистку, когда не знаете, чего ожидать, или не хотите быть строгим с проверкой данных».
В документации говорится, что WordPress предоставляет встроенные вспомогательные функции для защиты от злонамеренного ввода и что использование этих вспомогательных функций требует минимальных усилий.
WordPress предвидит шестнадцать видов уязвимостей ввода и предлагает решения для их блокировки.
Поэтому удивительно, что проблемы с очисткой ввода все еще должны возникать в самом ядре самого WordPress.
Было две уязвимости высокого уровня, связанные с неправильной очисткой:
- WordPress: SQL-инъекция из-за неправильной очистки в WP_Meta_Query | Из-за отсутствия надлежащей очистки в WP_Meta_Query существует вероятность слепой SQL-инъекции
- WordPress: SQL-инъекция через WP_Query | Из-за неправильной очистки в WP_Query могут быть случаи, когда SQL-инъекция возможна через плагины или темы, которые используют ее определенным образом.
Другие уязвимости:
- WordPress: внедрение аутентифицированных объектов в мультисайты | На мультисайтах пользователи с ролью суперадминистратора могут при определенных условиях обойти явное/дополнительное усиление защиты посредством внедрения объектов.
- WordPress: Сохраненный XSS через аутентифицированных пользователей | Аутентифицированные пользователи с низким уровнем привилегий (например, автор) в ядре WordPress могут выполнять JavaScript/выполнять сохраненную XSS-атаку, которая может повлиять на пользователей с высоким уровнем привилегий.
WordPress рекомендует обновить сразу
Поскольку уязвимости теперь открыты, важно, чтобы пользователи WordPress удостоверились, что их установка WordPress обновлена до последней версии, в настоящее время 5.8.3. Смотрите выпуск безопасности WordPress 5.8.3 на официальном сайте.
Для того, чтобы избежать уязвимости WordPress посоветовал немедленно обновить установку. Обязательно проверьте свой сайт и обновитесь. Всем удачи и благополучия! До новых встреч!
