Usługodawca w dziedzinie bezpieczeństwa Core Security poinformował o powodującym rozmaite problemy błędzie w przetwarzaniu określonych adresów URL w popularnej platformie blogowej WordPress. Na przykład pozbawieni odpowiednich uprawnień, ale zalogowani użytkownicy mogą podejrzeć strony konfiguracyjne wtyczek i zmieniać zawarte w nich opcje.

Problemy

Winę za wspomniany stan rzeczy ponosi plug-in admin.php, który w nieprawidłowy sposób weryfikuje uprawnienia dostępu. Core Labs umieścił w swoim raporcie przykładowe adresy URL, które umożliwiają oszukiwanie wtyczek – w tym również modułu WP dla systemu PHP IDS (PHP Intrusion Detection System).

Z kolei wtyczka Related Ways To Take Action wykazuje kilka usterek umożliwiających przeprowadzenie ataku typu Cross-Site Scripting, za pomocą którego można wykonać własny kod JavaScript w przeglądarce ofiary i np. odczytać w ten sposób zawartość jego ciasteczek. Ponadto strona logowania w niejednolity sposób reaguje na nieprawidłowe nazwy użytkowników i hasła, dzięki czemu atakujący ma możliwość odgadywania zarejestrowanych nazw w systemie użytkowników. Podobne zachowanie wykazuje też interfejs służący do wysyłania nowego hasła.

Według raportu, problemami dotknięte są wersje WordPress 2.8 i wcześniejsze, a także WordPress MU (Multi User) 2.7.1 i wcześniejsze.

Rozwiązanie

Błędy powinny być naprawione w finalnych wydaniach 2.8.1 i MU 2.8.1; obydwie wersje wkrótce będzie można pobrać. Wersja 2.8.1 jest do tej pory dostępna jedynie jako Release Candidate.

(pwi)