-15% na nową książkę sekuraka: Wprowadzenie do bezpieczeństwa IT. Przy zamówieniu podaj kod: 10000

Można bez uprawnień edytować posty w WordPress – aktualizujcie!

01 lutego 2017, 21:03 | W biegu | komentarzy 13

W WordPressie 4.7.0 włączono domyślnie API REST, które umożliwia na tworzenie, usuwanie czy edytowanie postów. Oczywiście tylko użytkownikom posiadającym uprawnienia… czy aby na pewno?

Okazuje się, że pewien drobny błąd (związany z rzutowaniem zmiennych w PHP) umożliwia na edytowanie dowolnego posta bez uprawnień (!) – wystarczy posiadać tylko jego ID…

W changelogu co dopiero wydanego WordPress 4.7.2 czytamy:

There was an Unauthenticated Privilege Escalation Vulnerability in a REST API Endpoint. Previous versions of WordPress, even with the REST API Plugin, were never vulnerable to this.

Na szczęście więc podatne są tylko wersje 4.7.0 oraz 4.7.1. Jeśli używacie jednej z nich, lepiej się zaktualizujcie ASAP.

–ms

Spodobał Ci się wpis? Podziel się nim ze znajomymi:



Komentarze

  1. Mała poprawka: REST API w jakimś procencie jest obecne także w starszych wersjach WP niż v4.7

    Odpowiedz
    • Tak, ale z tego co piszą kolesie z WP – tam to nie jest podatne.

      Odpowiedz
      • O.K., ja tylko odniosłem się do zdania: „W WordPressie 4.7.0 włączono domyślnie API REST”.

        Odpowiedz
  2. Bądź tu człowieku bez aktualizacji …

    Odpowiedz
  3. jmper

    „umożliwia na tworzenie, usuwanie czy edytowanie postów”

    Nie można umożliwiać na coś. Umożliwia się coś. Poprawcie bo trochę razi, zwłaszcza że 2 razy użyte w tekście.

    Odpowiedz
  4. U mnie wordpress zaktualizował się z automatu do wyższej wersji, ciekawe ile stron przez to zostało popsutych przez hakerów

    Odpowiedz
  5. Marek

    A macie może przykład zastosowania tego błędu ?
    Co prawda nie mam strony na WP, ale jestem ciekaw co zostawiają po sobie na stronie włamywacze :D

    Odpowiedz
    • Dokładny opis masz w linkowanym tekście.

      Odpowiedz
  6. Problemem wp jest to, że dużo ludzi nie aktualizuje swoich stron i spam wylęgarnia gotowa…

    Odpowiedz
  7. Dzięki za informacje trzeba zaktualizować

    Odpowiedz
  8. Dzięki za cynk, trzeba będzie zaktualizować parę staruszków.

    Odpowiedz
  9. Dzięki za info już sprawdzam jak to wygląda u mnie

    Odpowiedz
  10. na 14.02.2017 już 300 tyś stron zaindexowało ;(

    Odpowiedz

Odpowiedz na jmper