Уязвимости в ядре WordPress угрожают миллионам сайтов

В WordPress объявили об уязвимостях высокого уровня, найденных основной командой разработчиков.

В сообщении говорится, что разработчики исправили четыре уязвимости, оцененных по серьезности как 8 (по шкале от 1 до 10).

Четыре уязвимости WordPress

Некоторые детали уязвимостей приводим ниже:

Инъекция SQL из-за отсутствия «очистки» данных в WP_Meta_Query
Authenticated Object Injection в мультисайтовых установках
Stored Cross Site Scripting (XSS) через авторизованных пользователей
Инъекция SQL через WP_Query из-за неправильной «очистки» данных

Три из четырех уязвимостей были обнаружены исследователями безопасности вне WordPress.

Уязвимости были раскрыты вначале только для разработчиков WordPress, что позволило разработчикам исправить проблемы до того, как они стали широко известны.

Проблемы очистки данных в WordPress

Sanitization (очистка/фильтрация) – это способ контролировать, какой тип данных попадает через входные данные (POST, GET и т.п.) и базу данных. База данных содержит информацию о сайте, включая пароли, имена пользователей, информацию о пользователях, контент записей/страниц и другую информацию, необходимую для работы сайта.

В документации указано, что WordPress должен включать встроенные вспомогательные функции для защиты от вредного ввода, и использование этих вспомогательных функций требует минимальных усилий, однако это не спасло в данной ситуации.

Существовали две уязвимости высокого уровня, связанные с неправильной очисткой:

Из-за отсутствия надлежащей фильтрации данных в WP_Meta_Query существует вероятность “слепой” инъекции SQL
Из-за неправильной фильтрации данных в WP_Query могут быть случаи, когда инъекция SQL возможна с помощью плагинов или тем

Другие уязвимости:

На мультисайтовых установках пользователи с ролью суперадминистратора могут обойти явные/дополнительные ограничения при определенных условиях и с помощью object injection.
Пользователи с низкими преимуществами (например, автор) в ядре WordPress могут выполнять JavaScript/XSS-атаки, что может повлиять на пользователей с высокими преимуществами.