Плагин пожертвований GiveWP (CVE-2024-5932): выполнение кода через форму пожертвования

Публично раскрыта: 20 августа 2024

GiveWP — популярный плагин WordPress для онлайн-пожертвований и сбора средств. Ошибка в обработке одного из полей формы позволяла злоумышленнику без входа внедрить PHP-объект и, используя код, уже имеющийся в плагине, выполнять команды на сервере или удалять файлы.

Как защитить сайт на WordPress

1. Включите автоматическое обновление плагинов или проверяйте обновления хотя бы раз в неделю — массовые атаки начинаются в первые дни после исправления.
2. Удаляйте неиспользуемые плагины и темы; устанавливайте только из официального каталога или от производителя.
3. Используйте WAF или плагин безопасности с виртуальным патчингом.
4. Включите MFA для администраторов и проверяйте список пользователей на неизвестных администраторов.
5. Храните резервные копии файлов и базы данных вне хостинга.

Формы, принимающие данные от анонимных посетителей — пожертвования, заказы, регистрации, — первое место, куда смотрят атакующие. Плагины за ними обновляйте особенно внимательно.

Источники: NVD CVE-2024-5932.

Нужна помощь? Свяжитесь с CySec — первая консультация бесплатно.

Все статьи