Плагин, разработанный Loopus, позволяет администраторам сайтов WordPress создавать калькуляторы затрат и формы оплаты. Этот инструмент предлагается на CodeCanyon за 28 долларов, и его там купили почти 12 000 раз.

Defiant, разработчик подключаемого модуля безопасности Wordfence для веб-сайтов WordPress, сообщил в среду, что он обнаруживает атаки, использующие уязвимости в WP Cost Assessment & Payment Forms Builder для установки бэкдоров на веб-сайты.

Целевые недостатки были исправлены разработчиком несколько месяцев назад, но так как не было выдано предупреждение о безопасности, многие пользователи не установили обновления и оставили свои сайты уязвимыми для атак.

По словам исследователей Wordfence, злоумышленники используют две уязвимости, связанные с загрузкой и удалением файлов.

WP Cost обычно запрещает пользователям загружать опасные типы файлов на сервер, но недостаток плагина позволяет им загружать вредоносные файлы PHP с явно безвредным расширением.

Второй недостаток позволяет злоумышленникам удалять произвольные файлы. В атаках, обнаруженных Wordfence, они удалили файл wp-config.php, из-за чего WordPress полагает, что происходит новая установка - поскольку отсутствует конфигурация базы данных - что позволяет хакеру подключить сайт к собственной базе данных и войти в систему как администратор

Хотя обе уязвимости должны позволить хакерам достичь одной и той же цели, обе дыры в безопасности использовались при атаках, направленных на один и тот же сайт, что заставило экспертов полагать, что эксплойт при загрузке файлов не дал ожидаемого результата.

Обсуждения CodeCanyon показывают, что несколько пользователей сообщили, что их сайты были взломаны с помощью этого плагина. Некоторые сообщения, которыми обменивались разработчик и пользователи WP Cost Assessment примерно 4 месяца назад, предполагают, что в какой-то момент недостатки могли иметь статус нулевого дня - злоумышленники использовали уязвимости до того, как разработчик узнал об их существовании.

Исследуя эффективность исправлений, выпущенных для этих уязвимостей, исследователи Wordfence обнаружили еще один потенциально серьезный недостаток - проблему обхода каталога при загрузке, которую можно использовать для перезаписи любого файла с типом белого списка jpg, bmp, zip и т.д.

«Даже с белым списком, позволяющим загружать только изображения и архивы, злоумышленник может вызвать серьезные проблемы с эксплойтом. Любое изображение на сайте может быть перезаписано. Если какие-либо резервные копии хранятся в доступном месте в zip-архиве, злоумышленник может заменить эту резервную копию своей собственной зараженной версией, содержащей новых пользователей в базе данных или бэкдоры, захороненные в других местах файловой структуры. Когда резервная копия будет восстановлена ​​(возможно, после загадочного случая перезаписанных изображений), эти бэкдоры будут развернуты », - объяснили исследователи.

Исследователи Wordfence сообщили об этом недостатке Loopus 26 января, а несколько дней спустя был выпущен патч.

Злоумышленники часто используют недавно исправленные ошибки или недостатки нулевого дня, влияющие на плагины, нацеленные на сайты WordPress. Недавно раскрытые атаки включали AMP для WP, WordPress GDPR Compliance и плагины Total Donations.