Hackers εκμεταλλεύονται μια κρίσιμη ευπάθεια στο WordPress plugin “Hunk Companion”, με σκοπό να εγκαταστήσουν και να ενεργοποιήσουν άλλα ευάλωτα plugins (με εκμεταλλεύσιμα σφάλματα) απευθείας από το repository WordPress.org.
Με την εγκατάσταση ευάλωτων plugins, για τα οποία υπάρχουν διαθέσιμα exploits, οι εισβολείς μπορούν να πραγματοποιήσουν απομακρυσμένη εκτέλεση κώδικα (RCE), SQL injection και cross-site scripting (XSS) επιθέσεις ή να δημιουργήσουν backdoor admin accounts.
Η δραστηριότητα ανακαλύφθηκε από το WPScan και αναφέρθηκε στους διαχειριστές του plugin “Hunk Companion”, οι οποίοι κυκλοφόρησαν προχθές μια ενημέρωση ασφαλείας.
Δείτε επίσης: Σφάλμα στο WPForms επιτρέπει επιστροφές χρημάτων σε εκατομμύρια ιστότοπους WordPress
Εγκατάσταση ευάλωτων plugins
Το Hunk Companion είναι ένα WordPress plugin που έχει σχεδιαστεί για να συμπληρώνει και να βελτιώνει τη λειτουργικότητα θεμάτων που έχουν αναπτυχθεί από το ThemeHunk, έναν πάροχο customizable WordPress θεμάτων. Πρόκειται περισσότερο για ένα add-on παρά για ένα αυτόνομο plugin.
Σύμφωνα με τα στατιστικά του WordPress.org, το Hunk Companion χρησιμοποιείται από πάνω από 10.000 ιστότοπους WordPress.
Η κρίσιμη ευπάθεια ανακαλύφθηκε από τον ερευνητή του WPScan, Daniel Rodriguez, και παρακολουθείται ως CVE-2024-11972. Επιτρέπει την αυθαίρετη εγκατάσταση plugins μέσω μη επαληθευμένων αιτημάτων POST.
Επηρεάζονται όλες οι εκδόσεις του Hunk Companion πριν από την πιο πρόσφατη 1.9.0, η οποία αντιμετώπισε το πρόβλημα.
Δείτε επίσης: Ευπάθεια του WordPress Gutenberg Editor επιτρέπει εισαγωγή κακόβουλων σεναρίων
Οι ερευνητές του WPScan ανακάλυψαν την ενεργή εκμετάλλευση της ευπάθειας CVE-2024-11972 για την εγκατάσταση μιας ευάλωτης έκδοσης του WP Query Console. Πρόκειται για ένα plugin, το οποίο εκμεταλλεύτηκαν οι hackers για να εκτελέσουν κακόβουλο κώδικα PHP στους στοχευμένους ιστότοπους. Η εκμετάλλευσή του έγινε μέσω της ευπάθειας RCE CVE-2024-50498.
“Στις μολύνσεις που έχουμε αναλύσει, οι εισβολείς χρησιμοποιούν το RCE για να γράψουν ένα dropper PHP στο root directory του ιστότοπου“, εξηγεί το WPScan.
“Αυτό το dropper επιτρέπει συνεχείς μη εξουσιοδοτημένες μεταφορτώσεις μέσω αιτημάτων GET, επιτρέποντας το persistent backdoor access στον ιστότοπο“.
Οι χρήστες του Hunk Companion καλούνται να ενημερώσουν το plugin στην έκδοση 1.9.0 το συντομότερο δυνατό.
Δείτε επίσης: WordPress: Κρίσιμες ευπάθειες στο Spam protection, Anti-Spam, FireWall plugin
🔒 Προστατέψτε την ιδιωτικότητά σας με Proton VPN
Ελβετικό VPN από τους δημιουργούς του Proton Mail — αυστηρή πολιτική no-logs, ισχυρή κρυπτογράφηση και ενσωματωμένο NetShield που μπλοκάρει διαφημίσεις, trackers & malware.
- ✔ No-logs, με έδρα την Ελβετία (εκτός 14-Eyes)
- ✔ NetShield: φραγή διαφημίσεων, trackers & κακόβουλων domains
- ✔ Καλύπτει όλες τις συσκευές — δωρεάν έκδοση διαθέσιμη
Ο σύνδεσμος είναι συνεργατικός (affiliate) — το SecNews ενδέχεται να λάβει προμήθεια χωρίς επιπλέον κόστος για εσάς. Δεν επηρεάζει την ανεξαρτησία της αρθρογραφίας μας.
Σημασία προστασίας WordPress
Η προστασία των ιστοσελίδων WordPress είναι ιδιαίτερα σημαντική για πολλούς λόγους. Αρχικά, οι ιστότοποι WordPress είναι πολύ δημοφιλείς, που σημαίνει ότι αποτελούν βασικό στόχο για τους κυβερνοεγκληματίες. Αν ο ιστότοπός σας δεν είναι προστατευμένος, μπορεί να προκληθεί σημαντική ζημιά.
Επιπρόσθετα, ένα μη προστατευόμενο site WordPress μπορεί να υπονομεύσει την εμπιστοσύνη και την αξιοπιστία που έχετε δημιουργήσει με τους πελάτες σας. Εάν τα δεδομένα τους υποκλαπούν, είναι πολύ πιθανό να προσφύγουν νομικά εναντίον σας και να στραφούν σε άλλες εταιρείες.
Η προστασία του ιστοτόπου σας είναι επίσης σημαντική για τη διατήρηση της συνοχής και της αξιοπιστίας του περιεχομένου σας. Αν ένας hacker παραβιάσει τον WordPress ιστότοπό σας και αλλοιώσει το περιεχόμενο, μπορεί να προκληθεί η εντύπωση ότι δεν ασχολείστε αρκετά με τον ιστότοπό σας.
Με άλλα λόγια, η εξασφάλιση της προστασίας του ιστοτόπου WordPress δεν είναι απλά θέμα προστασίας των δεδομένων σας – είναι θέμα διατήρησης της εμπιστοσύνης των πελατών σας, συντήρησης της φήμης της εταιρείας σας και παραμονής στην κορυφή του ανταγωνισμού.
Πηγή: www.bleepingcomputer.com
