Вебмастерам, которые еще используют уже неподдерживаемый плагин WP Marketplace для WordPress, рекомендуется его удалить. Специалисты из White Fir Design выявили в плагине уязвимость, позволяющую загружать на сайт произвольные файлы. Эксперты советуют удалить плагин как можно скорее, так как эксплоиты и соответствующие навыки могут позволить хакеру проэксплуатировать уязвимость и получить контроль над сервером.
Подозрение относительно угроз у специалистов возникло, когда на различных сайтах они обнаружили следы сканирования на наличие CSS-файла плагина. «Запрос файла плагина, установленного на сайте, свидетельствует о том, что хакеры исследуют возможности для дальнейшей эксплуатации», – рассказали исследователи.
WP Marketplace в свое время был представлен разработчиком под псевдонимом Shaon. Несколько лет назад он пользовался достаточно широкой популярностью. Плагин устанавливался в online-магазинах, которые специализировались на реализации цифровой продукции. Прошло время и для тех же целей был создан новый плагин, который включал более обширный функционал – WordPress Download Manager. Сразу же после этого Shaon сообщил о прекращении поддержки WP Marketplace. Последнее обновление плагин получил около восьми месяцев назад. Тем не менее, по данным WordPress.org, на сегодня WP Marketplace еще используется. Число ресурсов, на которых плагин еще не удален, насчитывает от 400 до 500 сайтов.
WordPress Download Manager также содержит уязвимость, которая позволяет загружать произвольные файлы. Обнаружена эта проблема в июне, тем не менее на сегодня она по-прежнему остается неисправленной.
Источник http://www.securitylab.ru/
