WordPress 6.4.2 выпускает обновление для устранения уязвимости удаленного выполнения кода высокого риска

WordPress выпустил версию 6.4.2, которая содержит исправление для критической уязвимости безопасности, которая может быть использована злоумышленниками для объединения ее с другой уязвимостью для выполнения произвольного PHP-кода на уязвимых веб-сайтах.

В объявлении на официальном сайте WordPress говорится: «Это ошибка, которую нельзя использовать непосредственно в ядре.Уязвимость удаленного выполнения кода; Однако команда безопасности считает, что в сочетании с некоторыми плагинами, особенно при установке на нескольких сайтах, это может привести к серьезным уязвимостям безопасности. "

По данным компании Wordfence, занимающейся безопасностью WordPress, проблема кроется вWordPressКласс WP_HTML_Token, представленный в версии 6.4, предназначен для улучшения анализа HTML в редакторе блоков.

Злоумышленник может использовать уязвимость внедрения PHP-объекта, присутствующую в любом другом плагине или теме, чтобы объединить две проблемы для выполнения произвольного кода и захвата контроля над целевым сайтом.

Ранее в сентябре 2023 года Wordfence заявлял: «Если в целевой системе установлено POP [свойственно-ориентированное программирование] через дополнительный плагин или тему,¹] злоумышленник может удалить произвольные файлы, получить конфиденциальные данные или выполнить код. ".

В аналогичном объявлении от Patchstack компания сообщила, что цепочка эксплойтов доступна на GitHub с 17 ноября.²и добавлен в проект PHP Generic Gadget Chains (PHPGGC). Пользователям рекомендуется вручную проверить свой веб-сайт, чтобы убедиться, что он обновлен до последней версии.

“如果您是开发人员，并且您的任何项目包含对反序列化函数的函数调用，我们强烈建议您将其替换为其他内容，例如使用 json_encode 和 json_decode PHP 函数进行 JSON 编码/解码，”Patchstack Директор по технологиям Dave Jong说道。

Цитируя ссылки:

1. https://dl.acm.org/doi/10.1145/2660267.2660363 ↩︎
2. https://github.com/ambionics/phpggc/tree/master/gadgetchains/WordPress/РЦЭ ↩︎