От студента до админа: критическая уязвимость в системах онлайн-обучения

В популярных плагинах WPLMS и VibeBP для WordPress обнаружены критические уязвимости. Эти плагины являются ключевыми компонентами премиальной темы WPLMS LMS, которая используется для создания онлайн-курсов и управления образовательным контентом. Продажи темы превышают 28 000 копий, что подчёркивает масштабы риска.

Уязвимости создают серьёзные угрозы, такие как несанкционированная загрузка файлов, повышение привилегий и атаки SQL-инъекций. Среди них выделяется уязвимость CVE-2024-56046, позволяющая злоумышленникам загружать вредоносные файлы и выполнять удалённый код.

Тем временем, уязвимость повышения привилегий ( CVE-2024-56043 ) давала возможность низкопривилегированным пользователям становиться администраторами, что могло привести к полному захвату сайта. SQL-инъекции, включая CVE-2024-56042, раскрывали конфиденциальную информацию базы данных через специально подготовленные запросы.

В целом, исследователи из PatchStack обнаружили в упомянутых плагинах 18 уязвимостей, из которых несколько были признаны критическими. Проблемы затрагивали функционал регистрационных форм и REST API.

Разработчики затронутых плагинов уже выпустили для них обновления, исправляющие все ошибки. Актуальная безопасная версия WPLMS — 1.9.9.5.3, а VibeBP — 1.9.9.7.7. Разработчики усилили проверки безопасности и ввели ограничения на загрузку файлов, а также исправили уязвимости с повышением привилегий и SQL-инъекций. Для защиты от SQL-инъекций также было добавлено экранирование пользовательского ввода и использование подготовленных запросов.

Пользователям настоятельно рекомендуется немедленно обновить плагины, чтобы защитить свои сайты.

Тем временем, эксперты PatchStack рекомендуют разработчикам соблюдать следующие меры безопасности для предотвращения аналогичных уязвимостей:

• Ограничивать загрузку файлов, проверяя их типы и имена.
• Использовать списки разрешённых ролей для регистрации.
• Экранировать пользовательский ввод в SQL-запросах и применять подготовленные выражения.