Ismét rárepültek a WordPress oldalakra a hackerek

Az egyik WordPress bővítmény hibáját elkezdték kihasználni a kiberbűnözők. Valószínűleg sok ezer oldal vár még biztonsági frissítésre.
 
hirdetés

Az AMP for WP bővítmény nemrégen kapott egy fontos biztonsági hibajavítást, amellyel egy veszélyes sérülékenységet lehet befoltozni. Ezt a kiegészítőt eddig több mint 100 ezer alkalommal telepítették a webfejlesztők, weboldal tulajdonsok, így nem csoda, hogy a kiberbűnözés néhány napon belül ráharapott a számára kínálkozó lehetőségre, és elkezdte kihasználni a biztonsági rés adta lehetőségeket.
 
Az Accelerated Mobile Pages (Google AMP Project) funkcionalitást biztosító bővítmény hibájáról egyebek mellett a Wordfence csapata számolt be. A szakemberek tájékoztatása szerint a biztonsági hiba XSS (Cross-Site Scripting) alapokra épülő támadásokat tehet lehetővé. Ehhez a támadónak felhasználói jogosultságokkal kell rendelkeznie a célkeresztbe állított weboldal esetében. Ekkor a sebezhetőség miatt XSS-payloadot fecskendezhet be egyes weblapokba. Amennyiben ezeket egy adminisztrátori jogokkal rendelkező személy megnyitja, akkor a payload egy vezérlőszerverről további kódokat tölt le, illetve futtat. Ennek következtében számos jogosulatlan művelet végrehajtására nyílhat mód. Így például új adminisztrátorok vehetők fel, ugyanis már létezik egy olyan script, ami képes szimulálni az új felhasználói fiók felvételére alkalmas űrlap kitöltését, majd végül meghívja a click() eseményvezérlőt a megfelelő nyomógomb kapcsán. Ezzel pedig létrejön egy új fiók, ami későbbi visszaélések során juthat szerephez.
 
A Wordfence szakértői az érintett WordPress oldalak mielőbbi frissítését javasolják. Az AMP for WP 0.9.97.20 vagy ennél újabb verziói már nem tartalmazzák a szóban forgó sérülékenységet.
Vélemények
 
  1. 3

    A Linux Kernel legutóbb feltárt sebezhetőségére elérhetővé vált a megfelelő hibajavítás.

  2. 4

    Az Apache SpamAssassin két sebezhetőséget tartalmaz.

  3. 2

    A Trickbot trójai egy meglehetősen komplex felépítésű kémprogram, amely többféle módon képes értékes adatokhoz juttatni a terjesztőit.

 
Partnerhírek
​Pénzt ígért a webes Word dokumentum

Rafinált megoldást találtak a kiberbűnözők arra, hogy a felhasználókat rávegyék az Emotet trójai telepítésére

​Ötvenezer nyomtatót hackeltek meg egy YouTube sztár kedvéért

A YouTube elsőbbségért folyó virtuális harc nemrég rémisztő hackertámadásban öltött testet: az egyik kiberbűnöző 50 ezer nyomtatót használt arra, hogy kedvenc sztárjának szerezzen plusz feliratkozókat.

hirdetés
Közösség
1