Sumber : 2SPYWARE | Wordpress Infected
ARA-GEN - Ribuan situs WordPress terpengaruh oleh 3 kerentanan eksekusi kode jarak jauh yang diidentifikasi dalam plugin PHP Everywhere. Dengan lebih dari 30.000 unduhan, plugin PHP Everywhere adalah plugin sumber terbuka yang dirancang untuk mengaktifkan kode PHP di mana saja di instalasi WordPress.
Plugin PHP Everywhere terbaru dirilis bulan lalu dengan patch untuk tiga kerentanan kritis (skor CVSS 9,9) yang memungkinkan pengguna dengan privilege rendah untuk mengeksekusi kode di situs WordPress yang menggunakan plugin. Yang paling parah dari masalah ini adalah kerentanan yang berkodekan CVE-2022-24663, kerentanan yang memungkinkan setiap pengguna yang diautentikasi, termasuk pelanggan/audiens dan pengguna Wordpress itu sendiri, untuk mengeksekusi kode pendek melalui tindakan AJAX parse-media-shortcode.
Penyerang yang ingin mengeksploitasi bug perlu mengirim permintaan yang dibuat dengan parameter kode pendek tertentu untuk mengeksekusi kode PHP arbitrer di situs, yang biasanya akan mengarah pada pengambilalihan situs lengkap.
Dua kelemahan keamanan lainnya, yang ditemukan dengan kode kerentanan CVE-2022-24664 dan CVE-2022-24665, mengharuskan penyerang memiliki setidaknya izin tingkat kontributor di situs yang rentan, yang berarti bahwa dampaknya tidak terlalu parah. CVE-2022-24664 ada karena semua pengguna dengan kemampuan edit_posts, termasuk kontributor yang tidak dipercaya, dapat menggunakan metabox PHP Everywhere. Dengan demikian, mereka dapat membuat postingan yang berisi kode PHP di metabox PHP Everywhere, dan mencapai eksekusi kode dengan melihat pratinjau postingan.
CVE-2022-24665 ada karena, secara default, semua pengguna dengan kemampuan edit_posts dapat menggunakan blok PHP Everywhere Gutenberg (ini dapat disetel hanya untuk admin). Dengan demikian, pengguna tingkat kontributor dapat membuat posting, menambahkan blok PHP di mana-mana dengan kode di dalamnya, dan melihat pratinjau posting untuk mencapai eksekusi kode. Lubang keamanan dilaporkan ke pengelola PHP Everywhere pada 4 Januari. Versi 3.0.0 dari plugin dirilis pada 10 Januari dengan patch untuk ketiga kerentanan.
Temukan artikel atau berita tentang keamanan siber lainnya disini, Bagikan artikel ini jika dirasa perlu, ikuti kami di Facebook dan LinkedIn, terima kasih.
Posting Komentar