Fel i WordPress Plugin tillåter fjärrkörning av kod
Webbplatser som kör WordPress och använder plugin-programmet Frontend File Manager riskerar hackareattacker. Plugin ifråga, som är inriktad på att ladda upp och hantera filer medan du använder WP-plattformen, har ett kritiskt skriptfel som gör det möjligt för hackare att injicera skadlig JavaScript på sidorna och skapa egna konton på administratörsnivå.
Det kritiska felet finns i versionerna 17.1 och 18.2 av Frontend File Manager-pluginprogrammet och är en av sex höghotfel i dessa två versioner. Frågan är, enligt Threatposts rapport om frågan finns det över två tusen webbplatser som kör samma två versioner av WP-plugin.
Pluginens kritiska sårbarheter tillkännagavs offentligt den 12 juni och patchar har redan gjorts tillgängliga för dem.
Förutom att ge möjligheten att injicera JavaScript-kod på sidorna på webbplatsen som kör WP och plugin-programmet, tillät buggarna också hackare att redigera eller helt enkelt radera sidor och inlägg, eskalera kontobehörigheter och utföra skriptattacker på flera platser, även hänvisat till som XSS-attacker. Dessa resultat gjordes av säkerhetsforskare som arbetar med Ninja Technologies Network.
Rapporten från Ninja Technologies ger en detaljerad uppdelning av alla felaktiga funktioner som används i plugin-programmet och förklarar hur exakt de gör det möjligt för dåliga aktörer att injicera skadlig kod på sidor eller höja kontobehörigheter och effektivt få administratörsbehörighet och -behörigheter.
Buggarna tillåter också hackare att lägga till PHP i listan över filer som är tillåtna för uppladdning i Frontend File Manager-plugin. Detta i sin tur gör det möjligt för dem att ladda upp skadliga skript som möjliggör fjärrkörning av kod.
Den som använder Frontend File Manager-plugin på sin WP-webbplats måste omedelbart uppdatera till 18.3-versionen av plugin-programmet för att undvika eventuella problem och säkra deras konfiguration.
WordPress-plugins är ökända för att ha sårbarheter och problem som kan leda till allvarliga problem för webbplatsägarna. Frontend File Manager-plugin är inte det första, och om spårhistoriken för andra plugins är något att gå med kommer det förmodligen inte att vara den sista som har kritiska buggar. Webbplatsägare som använder anpassade WordPress-plugins bör alltid vara på utkik efter uppdateringar för dessa plugins för att vara så säkra som möjligt.
