Двенадцать уязвимостей в ядре WordPress
Обновление безопасности WordPress 7.0.3 устраняет двенадцать уязвимостей в ядре. Столь большое количество проблем за раз связано с активным использованием искусственного интеллекта для тестирования. Официальное объявление WordPress содержит минимальные описания без указания серьезности. Исправленные уязвимости: - XSS с сохранением в блоке "Дата публикации" (требуются права Contributor+) - XSS с сохранением в блоке "Содержание публикации" (требуются права Contributor+) - Раскрытие информации в блоке "Последние комментарии", показывающем комментарии к защищенным паролем записям - Обход процедуры подтверждения email-адреса - Внедрение CSS-кода (требуются права Author+) через обход фильтра безопасных CSS-атрибутов - XSS с сохранением в записях через элемент настроек эмодзи (требуются права Contributor+) - Повышение привилегий в мультисайтовых сетях с включенной регистрацией пользователей, позволяющее создать новый сайт - Подделку межсайтовых запросов (SSRF) при проверке URL, позволяющую выполнять запросы к link-local диапазонам адресов - Отраженную XSS-атаку на экране входа без необходимости аутентификации с потенциалом выполнения PHP-кода - Раскрытие заметок в RSS-лентах комментариев - Перечисление ярлыков (slug) записей - XSS с сохранением в функции "Быстрое редактирование" на сайтах с большим количеством пользователей (требуются права Contributor+)
Откладывать обновление рискованно: часть уязвимостей могут использовать злоумышленники без учетной записи на сайте.
Критическая XSS-уязвимость на экране входа
Особую опасность представляют три проблемы. Самая серьезная - отраженная XSS-атака на экране входа. Ей присвоен рейтинг 8.9 из 10. Уязвимость описана в репозитории безопасности WordPress на GitHub и может привести к удаленному выполнению кода. Атака проводится через вредоносный сайт, который провоцирует выполнение кода на сервере WordPress, если пользователь целевого сайта будет обманом вовлечен во взаимодействие с ним. Проблема затрагивает все версии WordPress, исправление перенесено во все ветки, начиная с версии 4.7.
Две другие важные уязвимости - SSRF, позволяющая выполнять запросы к внутренним (link-local) диапазонам IP-адресов сервера, и повышение привилегий в мультисайтовых сетях, позволяющее пользователю без прав создавать новые сайты. Последняя актуальна для образовательных учреждений, корпоративных порталов и других проектов, использующих мультисайтовую конфигурацию.
Контекст и реакция сообщества
Всплеск обнаружения уязвимостей совпал с активным использованием ИИ-инструментов для пентеста. Оливер Сильд из Patchstack отметил, что после инцидента с WP2Shell многие компании и лаборатории, включая использующие AI, активизировали поиск уязвимостей в WordPress. Проблемы в релизе 7.0.3 были обнаружены и сообщены организациями Anthropic AI, PWN AI и Aikido Security. Сильд уточнил, что ни одна из этих уязвимостей не является массово эксплуатируемой, как WP2Shell, и система автоматического обновления WordPress должна обеспечить быстрое распространение патча.
Владельцам сайтов на WordPress необходимо обновиться до версии 7.0.3 немедленно. Перед обновлением создайте полную резервную копию сайта (файлы и базу данных). Проверьте, не затронуты ли обновлением используемые плагины, и установите их свежие версии. Релиз 7.0.3 - это обязательный патч, закрывающий критические векторы атак, включая те, что могут быть использованы без авторизации. Игнорирование обновления оставляет сайт открытым для компрометации через уязвимости, которые уже публично известны и могут привлечь внимание злоумышленников.
