Otkrivene dve opasne ranjivosti u All in One SEO Pack pluginu, ažurirajte ga odmah
Ako koristite popularni All in One SEO Pack plugin za WordPress, ažurirajte ga što pre, upozorili su stručnjaci firme Sucuri koji su otkrili opasne ranjivosti u ovom pluginu. Najnovija verzija plugina sadrži ispravke za ove ranjivosti.
All in One SEO Pack je veoma popularni dodatak koji automatski optimizuje WordPress sadržaj da bi se postiglo bolje rangiranje sajta na pretraživačima. Prema podacima WordPressa, ovaj dodatak je do sada preuzet 18,5 miliona puta.
Dva baga u All in One SEO Pack koje su otkrili stručnjaci firme Sucuri mogu omogućiti napadačima sa pristupom neadministratorskim WordPress nalozima da povećaju svoje privilegije i ubace maliciozni kod u administratorski panel.
Jednu od ranjivosti može iskoristiti obični prijavljeni korisnik, koji nema bilo kakve administratorske prvilegije, na primer, autor ili preplatnik koji može dodati ili izmeniti određene parametre koje koristi plugin, kao što su SEO naziv posta, opis i ključne reči posta koje je kreirao All in One SEO Pack dodatak. Ako to uradi neko sa lošim namerama, to može imati za posledicu lošije rangiranje sajta u pretrazi.
Šteta od ovog baga može biti i veća ako neko zlonameran iskoristi i drugi bag koji su otkrili istraživači, tako što će ubaciti maliciozni JavaScript kod u administratorski panel koji bi se izvršio kada se stranica učita.
To znači da bi napadač mogao da uradi mnogo loših stvari, na primer, da izmeni lozinku administartorskog naloga ili ubaci backdoor kod u fajlove web sajta što bi mu kasnije omogućilo druge maliciozne aktivnosti.
Securi savetuje administratorima WordPress sajtova da nadograde All in One SEO Pack dodatak na verziju 2.1.6 koja je objavljena u nedelju.
WordPress sajtovi su godinama omiljena meta napadača a ranjivosti u dodacima i temama često su korišćene u napadima. Zbog toga je veoma važno da se third-party komponente koje koriste WordPress web sajtovi ažuriraju i tako zaštite od napada na ranjivosti baš kao i softver na računaru.
Offline
