Тысячи сайтов на WordPress находятся под угрозой из-за уязвимости плагина

Исследователь в области информационной безопасности Андреа Боккетти обнаружил серьезную уязвимость в плагине Advanced Custom Fields: Extended, который используется многими веб-сайтами на базе WordPress.

Этот плагин позволяет добавлять пользовательские поля в записи и страницы. Ошибка в этом плагине связана с некорректным применением ограничений при создании или обновлении учетных данных пользователей с помощью форм.

Боккетти отмечает, что уязвимая версия плагина не имеет ограничений и позволяет пользователям добровольно устанавливать свою роль, включая роль администратора.

Это, в свою очередь, может обеспечить полный контроль над данным веб-сайтом.

Уязвимость была обнаружена в версиях плагина 0.9.2.1 и более ранних, и её уровень серьёзности составляет 9,8/10, что делает её критической. Хотя её эксплуатация непроста и требует физического доступа к панели управления WordPress, она представляет собой значительную угрозу.