WordPress PHP Everywhere frissítés
A kutatók három kritikus távoli kódvégrehajtási (remote code execution – RCE) sérülékenységet találtak a WordPress „PHP Everywhere” beépülő moduljában. A Wordfence elemzői szerint az összes WordPress 2.0.3-as és régebbi verzióját érintik a sérülékenységek.
CVE-2022-24663– Könnyen kihasználható távoli kódvégrehajtási hiba, amely lehetővé teszi, hogy kérést küldjenek a „shortcode” paraméterrel a PHP Everywhere-re, és tetszőleges PHP-kódot hajtsanak végre a webhelyen. (CVSS v3 pontszám: 9,9)
CVE-2022-24664 – a PHP Everywhere bővítmény metaboxán keresztül használható ki. (CVSS v3 pontszám: 9,9)
CVE-2022-24665 – RCE-hiba, amelyet olyan közreműködők használhatnak ki, akik rendelkeznek az ‘edit_posts’ képességgel, és hozzá tudnak adni PHP Everywhere Gutenberg blokkokat. (CVSS v3 pontszám: 9,9)
Az utóbbi kettő két sérülékenység nehezn használható ki, hozzáférést igényelnek a rendszerhez, az első sebezhetőség sokkal könnyen kihasználható.
A Wordfence csapata 2022. január 4-én fedezte fel a sebezhetőséget, és tájékoztatta a PHP Everywhere gyártóját. A gyártó 2022. január 10-én kiadott egy biztonsági frissítést a 3.0.0-s verzióval, amely jelentős verziószámot kapott, mert jelentős kód-újraírást igényelt. Eddig nagyon kevesen telepítették a frissítést, ezért az oldalak rendkívül sérülékenyek.