Preorder drugiego tomu książki sekuraka: Wprowadzenie do bezpieczeństwa IT. -15% z kodem: sekurak-book
Można bez uprawnień edytować posty w WordPress – aktualizujcie!
W WordPressie 4.7.0 włączono domyślnie API REST, które umożliwia na tworzenie, usuwanie czy edytowanie postów. Oczywiście tylko użytkownikom posiadającym uprawnienia… czy aby na pewno?
Okazuje się, że pewien drobny błąd (związany z rzutowaniem zmiennych w PHP) umożliwia na edytowanie dowolnego posta bez uprawnień (!) – wystarczy posiadać tylko jego ID…
W changelogu co dopiero wydanego WordPress 4.7.2 czytamy:
There was an Unauthenticated Privilege Escalation Vulnerability in a REST API Endpoint. Previous versions of WordPress, even with the REST API Plugin, were never vulnerable to this.
Na szczęście więc podatne są tylko wersje 4.7.0 oraz 4.7.1. Jeśli używacie jednej z nich, lepiej się zaktualizujcie ASAP.
–ms
Mała poprawka: REST API w jakimś procencie jest obecne także w starszych wersjach WP niż v4.7
Tak, ale z tego co piszą kolesie z WP – tam to nie jest podatne.
O.K., ja tylko odniosłem się do zdania: „W WordPressie 4.7.0 włączono domyślnie API REST”.
Bądź tu człowieku bez aktualizacji …
„umożliwia na tworzenie, usuwanie czy edytowanie postów”
Nie można umożliwiać na coś. Umożliwia się coś. Poprawcie bo trochę razi, zwłaszcza że 2 razy użyte w tekście.
U mnie wordpress zaktualizował się z automatu do wyższej wersji, ciekawe ile stron przez to zostało popsutych przez hakerów
A macie może przykład zastosowania tego błędu ?
Co prawda nie mam strony na WP, ale jestem ciekaw co zostawiają po sobie na stronie włamywacze :D
Dokładny opis masz w linkowanym tekście.
Problemem wp jest to, że dużo ludzi nie aktualizuje swoich stron i spam wylęgarnia gotowa…
Dzięki za informacje trzeba zaktualizować
Dzięki za cynk, trzeba będzie zaktualizować parę staruszków.
Dzięki za info już sprawdzam jak to wygląda u mnie
na 14.02.2017 już 300 tyś stron zaindexowało ;(