Добавление миграции WordPress

All-in-One WP Migration, популярный плагин миграции данных для сайтов WordPress с 5 миллионами активных установок, страдает от манипуляций с токенами доступа без аутентификации, которые могут позволить злоумышленникам получить доступ к конфиденциальной информации сайта.

All-in-One WP Migration — это удобный инструмент миграции сайтов WordPress для нетехнических и неопытных пользователей, позволяющий плавно экспортировать базы данных, мультимедиа, плагины и темы в единый архив, который легко восстановить на новом месте.

Patchstack сообщает, что различные премиум-расширения, которые предлагает поставщик плагина ServMask, содержат один и тот же фрагмент уязвимого кода, которому не хватает разрешений и проверки nonce в функции инициализации.

Этот код присутствует в расширении Box, расширении Google Drive, расширении One Drive и расширении Dropbox, которые были созданы для облегчения процедур миграции данных с использованием указанных сторонних платформ.

Уязвимость, отслеживаемая как CVE-2023-40004, позволяет неаутентифицированным пользователям получать доступ и манипулировать конфигурациями токенов в затронутых расширениях, что потенциально позволяет злоумышленникам перенаправлять данные миграции веб-сайтов в свои собственные учетные записи сторонних облачных служб или восстанавливать вредоносные резервные копии.

Основным последствием успешного использования CVE-2023-40004 является утечка данных, которая может включать данные пользователя, важные данные веб-сайта и конфиденциальную информацию.

Проблема безопасности несколько смягчается тем фактом, что All-in-One WP Migration используется только во время проектов миграции сайтов и обычно не должен быть активен в любое другое время.

Нарушенный контроль доступа был обнаружен исследователем PatchStack Рафи Мухаммадом 18 июля 2023 года и передан в ServMask для исправления.

26 июля 2023 г. поставщик выпустил обновления безопасности, включив в функцию init проверку разрешений и nonce.

Пользователям затронутых премиальных сторонних расширений рекомендуется выполнить обновление до следующих фиксированных версий:

Также пользователям рекомендуется использовать последнюю версию (бесплатного) базового плагина All-in-One WP Migration v7.78.

Плагин Jupiter X Core WordPress может позволить хакерам захватывать сайты

Уязвимость плагина WordPress Ninja Forms позволяет хакерам украсть отправленные данные

Правительственные ИТ-системы Норвегии взломаны с помощью уязвимости нулевого дня

Хакеры используют критическую ошибку WordPress WooCommerce Payments

Плагин WordPress AIOS, используемый 1 млн сайтов, регистрирующих пароли в виде открытого текста