Três plug-ins populares do WordPress, com dezenas de milhares de instalações ativas, imediatamente revelou ter vulnerabilidades críticas de injeção de SQL. Além disso, As explorações de PoC para esses bugs agora estão disponíveis publicamente.
As vulnerabilidades foram descobertos por Sustentável, quem notificou WordPress desenvolvedores sobre eles em meados de dezembro 2022, proporcionando-lhes prova de conceito explorações. Atualmente, autores de plugins já lançaram patches para resolver problemas, então os pesquisadores revelaram os detalhes técnicos dos bugs encontrados.
Deixe-me lembrá-lo de que também escrevemos isso GoTrim Malware invade sites WordPress, e também isso A Ucrânia foi atingida por DDoS Ataques de sites WordPress hackeados.
Especialistas em segurança da informação também informaram que Hackers verificados 1.6 Milhões de sites WordPress em busca de um plugin vulnerável.
O primeiro plugin vulnerável à injeção de SQL é Assinaturas pagas Pro, um plugin de gerenciamento de assinaturas e membros usado por mais de 100,000 sites.
A vulnerabilidade está sendo rastreada como CVE-2023-23488 (Pontuação CVSS 9.8, ou seja. crítico) e afeta todas as versões de plugins anteriores a 2.9.8. O problema foi corrigido com o lançamento da versão 2.9.8.
O segundo plugin vulnerável é Downloads digitais fáceis, um plugin de comércio eletrônico e venda de arquivos digitais com mais de 50,000 instalações ativas.
A vulnerabilidade está sendo rastreada como CVE-2023-23489 (também 9.8 na escala CVSS) e afeta todas as versões do plugin anteriores a 3.1.0.4 lançado antes de janeiro 5, 2023.
A Tenable também descobriu um CVE-2023-23490 questão no Marcador de pesquisa plugin usado por 3,000 sites de pesquisa. A vulnerabilidade recebeu uma pontuação CVSS de 8.8, como um invasor deve ser autenticado (pelo menos como assinante) para explorar o bug. Infelizmente, esta condição pode ser facilmente atendida, já que muitos sites permitem que os visitantes se registrem como membros.
A vulnerabilidade no plugin foi corrigida com o lançamento da versão 3.1.2 no final de dezembro 2022.
