Плагин JSON REST API для WordPress выпустил обновление безопасности на выходных. Версия 1.1.1 содержит исправление для уязвимости, из-за которой встроенная в API поддержка JSONP могла использоваться для обслуживания произвольных файлов Flash SWF. Известно, что этот метод использовался в прошлом для злоупотребления конечными точками JSON, чтобы позволить Flash-файлам обходить политики доменов разных браузеров.
Ядро WordPress уже имеет защиту CSRF, но WP REST API часто используется в сочетании с другим программным обеспечением, которое может не иметь такой же защиты. Вы можете использовать фильтр, чтобы отключить поддержку JSONP:
[php light = ”true”]add_filter(‘json_jsonp_enabled’, ‘__return_false’);[/php]
Руководитель проекта WP API Райан МакКью благодарит Иэна Данна в объявлении о выпуске за то, что он ответственно сообщил команде об уязвимости.
Проект WP REST API теперь доступен на HackerOne с вознаграждением для хакеров, которые обнаружат эксплойты удаленного выполнения кода, внедрение SQL, повышение привилегий и другие проблемы безопасности. Плагин WP-API указан как высокоприоритетный вместе с плагином сервера OAuth 1.0a , который обеспечивает аутентификацию для API.
По словам МакКью, уязвимость, исправленная в версии 1.1.1 плагина, была классифицирована как незначительная проблема безопасности, и ни один сайт не сообщил о каких-либо эксплойтах. Он рекомендует всем, кто все еще использует плагин версии 1.1, обновить его как можно скорее.
