Krytyczna podatność w wtyczce WPML naraża miliony witryn WordPress na potencjalne ataki wykonania kodu zdalnego

Odkryto krytyczną podatność w wtyczce WPML (WordPress Multilingual), która naraża miliony witryn WordPress na potencjalne ataki wykonania kodu zdalnego (RCE). Wada ta, zidentyfikowana jako CVE-2024-6386 i sklasyfikowana jako „krytyczna” ze względu na swoje poważne skutki, pozwala atakującym z uprawnieniami na poziomie współpracownika lub wyższym na wykonanie dowolnego kodu na serwerze, co może prowadzić do całkowitego przejęcia witryny.

Wtyczka WPML jest popularnym wyborem do budowania wielojęzycznych witryn na platformie WordPress. Ze swoimi ponad milionem aktywnych instalacji odgrywa kluczową rolę w zapewnianiu obsługi globalnej widowni dla wielu firm i organizacji. Jednak to ostatnie odkrycie podkreśla znaczenie dbania o bezpieczeństwo wtyczek i katastrofalne skutki podatności w powszechnie używanych narzędziach.

Rozumienie podatności
Podatność tkwi w obsłudze skrótów wtyczki, które są kawałkami kodu używanymi do wstawiania różnych funkcjonalności, takich jak audio, video lub strumienie mediów społecznościowych, do treści witryny. WPML wykorzystuje szablony Twig do renderowania treści wewnątrz skrótów. Badacz bezpieczeństwa Matt Rollings, który używa pseudonimu Stealthcopter, odkrył, że wtyczka nie prawidłowo oczyszcza wprowadzane przez użytkowników dane w tych szablonach, co prowadzi do wstrzyknięcia szablonów po stronie serwera (SSTI).

Innymi słowy, atakujący mogą wstrzyknąć złośliwy kod do pozornie nieszkodliwej treści, takiej jak skrót. Gdy ten kod jest przetwarzany przez wtyczkę, zostaje wykonany na serwerze, co daje atakującemu nieautoryzowany dostęp i kontrolę. Mogą oni w ten sposób kraść poufne informacje, instalować złośliwe oprogramowanie, przekierowywać ruch na stronie lub nawet całkowicie naruszyć wygląd witryny.

Łata dla WPML
Zespół WPML szybko zareagował na ujawnienie podatności i wydał zaktualizowaną wersję (WPML 4.6.13) 20 sierpnia 2024 r. Jednak ważne jest, aby wszyscy właściciele witryn WordPress korzystający z wtyczki WPML niezwłocznie zaktualizowali do tej najnowszej wersji. Opóźnienia w stosowaniu łatki narażają witryny na potencjalne wykorzystanie podatności.

Oto jak zaktualizować wtyczkę WPML:

1. Zaloguj się do swojej konsoli WordPress.
2. Przejdź do menu Wtyczki > Zainstalowane wtyczki.
3. Znajdź wtyczkę WPML i kliknij „Zaktualizuj”, jeśli dostępna jest nowsza wersja.
4. Po zakończeniu aktualizacji kliknij „Aktywuj”, aby upewnić się, że uruchomiona jest zaktualizowana wersja.

Dodatkowo, właściciele witryn powinni wziąć pod uwagę następujące środki bezpieczeństwa:
– Regularne aktualizacje wtyczek: Utrzymywanie aktualnych wersji wszystkich wtyczek i motywów jest niezbędne. Regularnie sprawdzaj dostępność aktualizacji i instaluj je, gdy tylko staną się dostępne. Pomaga to zapewnić szybką reakcję na znane podatności.
– Silne hasła: Wymagaj silnych i unikalnych haseł dla wszystkich kont użytkowników, w tym z uprawnieniami współpracownika lub wyższymi. Unikaj łatwo odgadnialnych haseł lub słów z słownika.
– Wtyczki zabezpieczające: Rozważ zainstalowanie renomowanej wtyczki zabezpieczającej, która może monitorować aktywność witryny i ostrzegać przed podejrzanym zachowaniem. Te wtyczki nie zawsze są w stanie zapobiec wszystkim atakom, ale mogą być wartościowym narzędziem do identyfikacji i reagowania na potencjalne zagrożenia.
– Regularne tworzenie kopii zapasowych: Utrzymuj regularne kopie zapasowe danych swojej witryny. Zapewnia to posiadanie czystej kopii witryny w przypadku ataku. Kopie zapasowe mogą zostać użyte do szybkiego przywrócenia działającej witryny i minimalizowania czasu przestoju.

Podatność WPML jest wyraźnym przypomnieniem o nieustannie zmieniającym się krajobrazie cyberbezpieczeństwa. Choć niezbędne jest wyeliminowanie natychmiastowej luki, podkreśla to potrzebę dbania o bezpieczeństwo wtyczek i powszechnie używanych narzędzi.