WP File Manager (CVE-2020-25213): уязвимость нулевого дня, позволявшая любому загружать файлы в WordPress

Публично раскрыта: 1 сентября 2020

WP File Manager позволяет администраторам управлять файлами сервера из панели WordPress. В сентябре 2020 года злоумышленники уже эксплуатировали ошибку, позволявшую любому — без входа — загрузить PHP-файл и выполнить его на сервере. Причина: компонент используемой библиотеки оставался доступным в папке плагина.

Как защитить сайт на WordPress

1. Включите автоматическое обновление плагинов или проверяйте обновления хотя бы раз в неделю — массовые атаки начинаются в первые дни после исправления.
2. Удаляйте неиспользуемые плагины и темы; устанавливайте только из официального каталога или от производителя.
3. Используйте WAF или плагин безопасности с виртуальным патчингом.
4. Включите MFA для администраторов и проверяйте список пользователей на неизвестных администраторов.
5. Храните резервные копии файлов и базы данных вне хостинга.

Плагины, дающие доступ к файлам или базе данных из браузера, особенно опасны: устанавливайте их только при реальной необходимости и удаляйте после использования.

Источники: Wordfence, NVD CVE-2020-25213.

Нужна помощь? Свяжитесь с CySec — первая консультация бесплатно.

Все статьи