Поддельные администраторы и межсайтовый скриптинг: хакеры берут сайты на WordPress штурмом

Исследователи в области кибербезопасности предупредили о том, что несколько серьёзных уязвимостей в плагинах WordPress активно используются злоумышленниками для создания поддельных учётных записей администраторов.

«Эти уязвимости обнаружены в различных плагинах WordPress и подвержены атакам с использованием неаутентифицированных хранимых межсайтовых скриптов (XSS) из-за недостаточной очистки входных данных и экранирования выходных данных, что позволяет злоумышленникам внедрять вредоносные скрипты», — сообщили исследователи компании Fastly.

Ниже приведены уязвимости, подверженные атакам:

• CVE-2023-6961 (оценка CVSS: 7.2) — сохранённые межсайтовые скрипты без проверки подлинности в WP Meta SEOверсий до 4.5.12.
• CVE-2023-40000 (оценка CVSS: 8.3) — сохранённые межсайтовые скрипты без проверки подлинности в LiteSpeed Cache версий до 5.7.
• CVE-2024-2194 (оценка CVSS: 7.2) — сохранённые межсайтовые скрипты без проверки подлинности в WP Statistics версий до 14.5.

Цепочки атак, использующие эти уязвимости, включают внедрение полезной нагрузки, указывающей на зашифрованный JavaScript-файл, размещённый на внешнем домене. Этот файл создаёт новую учётную запись администратора, вставляет бэкдор и устанавливает скрипты для отслеживания.

Бэкдоры на языке PHP внедряются как в файлы плагинов, так и в файлы тем оформления, в то время как скрипт отслеживания отправляет HTTP GET запрос с информацией о хосте на удалённый сервер.

WPScan, компания по безопасности WordPress, ранее раскрывала аналогичные атаки, направленные на CVE-2023-40000, для создания поддельных учётных записей администраторов на уязвимых сайтах.

Для снижения рисков таких атак владельцам сайтов на WordPress рекомендуется проверить установленные плагины, обновить их до последних версий и провести аудит сайтов на наличие вредоносного ПО или подозрительных учётных записей администраторов.