Hackeři aktivně zneužívají zero day zranitelnost WordPress pluginu Fancy Product Designer
Plugin Fancy Product Designer, který je nainstalován na více než 17 000 webových stránkách, obsahuje kritickou zranitelnost při nahrávání souborů, která je aktivně zneužívána útočníky k nahrávání malwaru. Chybu objevil tým společnosti Wordfence a uvádí, že problém nahlásil vývojáři pluginu 31. května.
Fancy Product Designer je nástroj, který umožňuje firmám a zákazníkům vytvářet personalizované produkty. Nabízí jim možnost nahrávat obrázky a soubory PDF, z kterých lze následně vytvořit design různých produktů, od triček až po pouzdra na telefony.
“I přestože plugin obsahuje nástroje kontroly, které mají bránit nahrávání škodlivých souborů, se útočníkům podařilo nahrát spustitelné PHP soubory na jakýkoli web s nainstalovaným zásuvným modulem,” uvedla společnost Wordfence. Útočník může díky tomu vzdáleně spustit kód na napadené webové stránce a tím nad ní plně převzít kontrolu. Wordfence blíže neupřesnil technické detaily, protože již 30. ledna našla důkazy o jejím zneužití.
Díky zprávě od Wordfence správci aplikace Fancy Product Designer vydali aktualizaci (verze 4.6.9), která opravuje výše zmíněnou chybu při nahrávání souborů. Wordfence rovněž nasdílel revidované indikátory kompromitace (IoC) související s útokem, které jsou k dispozici zde.
Není to zdaleka poprvé, co společnost Wordfence odhalila závažné problémy v pluginech pro WordPress. V prosinci 2017 objevili backdoor v pluginu BestWebSoft captcha, který zasáhl 300 000 webů.
Na začátku letošního roku výzkumníci také odhalili zranitelnosti v aplikacích Elementor a WP Super Cache, které by v případě úspěšného zneužití mohly útočníkovi umožnit spuštění libovolného kódu a ovládnutí webu.
Autor: Ondřej Vanáč, spoluzakladatel CyberBlog.cz
Zdroj: The Hacker News
Foto: Pixabay
Hackeři aktivně zneužívají zero day zranitelnost WordPress pluginu Fancy Product Designer
0 Comments