Yoast обнаружила уязвимость слепой SQL-инъекции в SEO-плагине WordPress: рекомендуется немедленное обновление

Сегодня в популярном SEO-плагине WordPress от Yoast была обнаружена уязвимость, связанная со слепой SQL-инъекцией . База данных WPScanVulnerability выпустила рекомендацию после ответственного раскрытия уязвимости автору плагина:

Было обнаружено, что последняя версия на момент написания (1.7.3.3) подвержена двум аутентифицированным (администратор, редактор или пользователь-автор) слепым SQL-инъекциям.

Аутентифицированную уязвимость Blind SQL Injection можно найти в файле «admin/class-bulk-editor-list-table.php». Параметры orderby и order GET недостаточно очищены перед использованием в SQL-запросе.

Yoast быстро отреагировал патчем и выпустил версию 1.7.4 со следующим исправлением безопасности:

Исправлены возможные уязвимости CSRF и слепых SQL-инъекций в массовом редакторе. Добавлена ​​строгая санация в order_by и параметры заказа. Добавлены дополнительные проверки nonce для запросов, отправляющих дополнительные параметры. Минимальная возможность, необходимая для доступа к массовому редактору, теперь Editor. Спасибо Райану Дьюхерсту из WPScan за обнаружение и ответственное раскрытие этой проблемы.

Рекомендуется немедленное обновление

Пользователям, использующим самую последнюю версию, рекомендуется немедленно выполнить обновление. Если вы используете Jetpack на всех своих сайтах, вы можете быстро обновить их, посетив: https://wordpress.com/plugins/wordpress-seo . Там вы увидите все сайты, на которых у вас установлен плагин и которые вы можете обновлять с централизованной панели управления.

Хостинговые компании изо всех сил пытаются добавить исправление для защиты клиентов. Блог состояния Pressable разослал рекомендацию об уязвимости и немедленно обновляет установки, в которых активен плагин:

Наши системы уже начали обновлять этот подключаемый модуль на всех затронутых сайтах в наших системах, и мы ожидаем, что этот процесс будет завершен в ближайшее время.

SiteGround добавил временное исправление , чтобы помочь клиентам, прежде чем они смогут обновиться. Компания добавила новые правила безопасности в свой WAF (брандмауэр веб-приложений), которые будут активно фильтровать любые возможные входящие попытки взлома, пытающиеся использовать уязвимость.

WordPress SEO от Yoast активен на более чем одном миллионе веб-сайтов. В то время как многие хосты проявляют инициативу в отношении обновления плагинов для клиентов, большинство пользователей плагинов не смогут полагаться на свой хост, чтобы позаботиться об обновлении. Защитить свой сайт от уязвимости так же просто, как войти в систему и обновить ее до последней версии.

Обновление Joost de Valk опубликовал обновление, в котором обсуждаются уязвимости и то, что исправлено.