Сотни тысяч админов по всему миру оказались перед угрозой лишиться своих сайтов

Уязвимость в SEO-плагине Rank Math ресурса WordPress позволяет делать любого зарегистрированного пользователя администратором площадки, а официальных администраторов — разжаловать. Исправления уже выпущены.

«Я здесь главный»

Критическая уязвимость в одном из популярных SEO-плагинов WordPress— популярной системы управления содержимым сайта с открытым исходным кодом — позволяет превращать любого зарегистрированного пользователя в администратора сайта. Под угрозой около 200 тыс. ресурсов.

Рассматриваемый плагин, Rank Math разработчики называют «швейцарским ножом поисковой оптимизации WordPress». Плагин снабжен пошаговым мастером установки и поддерживает целый ряд SEO-технологий и инструментов — Google Schema Markup (Rich Snippets), оптимизацию ключевых слов, интеграцию с Google Search Console и многое другое.

Эксперты компании Defiant Wordfence Threat Intelligence обнаружили в плагине баг, позволяющий повышать привилегии, который позволяет «неавторизованному злоумышленнику подменять произвольные метаданные, что приводит, в частности, к возможности предоставлять или отзывать административные привилегии любому зарегистрированному пользователю на сайте».

Помимо этого у злоумышленников есть возможность отозвать у администраторов их привилегии. Если администратор один, то это может привести к блокировке сайта как такового.

Популярный плагин к WordPress позволяет хакерам подменять администраторов

В Defiant отмечают, что эти сценарии — самые критичные. Баг обеспечивает злоумышленникам еще большую свободу действий, особенно при наличии других уязвимых компонентов на сайте.

Туда не ходи, сюда ходи

Кроме того, в одном из опциональных плагинов Rank Math нашлась еще одна уязвимость, которая позволяет неавторизованным пользователям создавать редиректы в любой области сайта для перехода на любой иной ресурс. Фактически это может означать блокировку всего содержимого сайта, кроме главной страницы, или автоматическую переброску пользователей на любой вредоносный сайт.

«WordPress регулярно становится предметом пристального интереса со стороны киберзлоумышленников — и из-за своей популярности и из-за обилия уязвимостей, которые регулярно обнаруживаются в разных плагинах к нему, — говорит Дмитрий Кирюхин, эксперт по информационной безопасности компании SEC Consult Services. — Из-за критической природы некоторых из них, сайты на WordPress с начала 2020 г. подвергаются интенсивным атакам, так что выявление новых опасных уязвимостей оказывается весьма некстати. Остается уповать на то, что администраторы не будут затягивать с установкой обновлений, в противном случае, у них есть все перспективы лишиться своих площадок».

Обновление для Rank Math уже доступно на сайте разработчика. Оно исправляет обе уязвимости.