200 000 сайтов с WordPress-плагином PageLayer стали открыты для атак

Две уязвимости высокой степени опасности, обнаруженные в плагине PageLayer, позволяют злоумышленникам захватывать WordPress-сайты и удалять их контент.

PageLayer – WordPress-плагин, имеющий более чем 200 тысяч активных установок. Главная цель плагина – помочь пользователям, не имеющим навыков разработчиков или дизайнеров, создавать веб-страницы в реальном времени через специальный редактор.

Баги могут вести к захвату сайтов и их удалению

30 апреля команда разработчиков Wordfence Threat Intelligence сообщила создателям PageLayer о найденных уязвимостях. 6 мая вышел патч, который устранял эти дыры – релиз 1.1.2.

Согласно Wordfence, злоумышленники могут эксплуатировать две дыры в безопасности для модификации WordPress-сайтов, на которых используются старые версии плагина, а также для проведения атак с захватом сайта.

«Первая дыра позволяла любому аутентифицированному пользователю с уровнем подписчика или выше обновлять и модифицировать посты по своему усмотрению», — рассказали специалисты Wordfence.

«Вторая дыра позволяла злоумышленникам создавать поддельный запрос от лица администратора сайта для изменения настроек плагина, что давало возможность внедрить вредоносный JS-код».

Как уточняют эксперты, эти два бага связаны с незащищенными действиями AJAX, разглашением nonce и отсутствием защиты от Cross-Site Request Forgery (CSRF). Все это давало злоумышленникам возможность инъецировать вредоносный JS-код, изменять страницы атакованных сайтов, создавать поддельные аккаунты администраторов, перенаправлять посетителей на вредоносные сайты, а также использовать браузер пользователя для компрометации его компьютера.

Более подробную информацию по уязвимостям PageLayer, их опасности, а также о том, как они были исправлены разработчиками, можно найти в отчете Wordfence.

Чтобы защититься от потенциальных атак, пользователи должны немедленно обновить плагин PageLayer до версии 1.1.2, в которой эти уязвимости были исправлены.

Примерно 120к сайтов все еще подвержены атакам

Хотя плагин PageLayer 1.1.2 вышел еще 6 мая, до вчерашнего дня количество скачиваний новой версии составляло всего 85000. Эти цифры включают в себя как новые установки, так и обновления, согласно представленным данным о загрузках в каталоге плагинов WordPress.

Отсюда следует, что как минимум 120 000 сайтов с PageLayer по-прежнему остаются уязвимыми. Если у вас установлена старая версия этого плагина, мы рекомендуем вам незамедлительно обновиться.

Источник: https://www.bleepingcomputer.com

Лучшие в городе реальные феи Балаково, сочные и сладкие, они такие модельные и чуткие, что тебе обязательно повезёт. Выбери девушку сейчас. Встречи строго индивидуально, реальные феи Балаково, отдых для уважающих себя мужчин -oopsbalakovo.ru. После десятка лет совместной жизни, когда между партнёрами больше привычка, чем любовь, проститутка поможет оживить сексуальные отношения и разжечь былой огонь страсти в супругах, научив новым сексуальным штукам. Кончить при желании вы сможете прямо на лицо проститутке или на ее грудь.