Ошибки движка WordPress могут скомпрометировать сайты

На днях программисты RIPS Technologies заметили в одном из плагинов, служащих для движка WordPress, серьёзную проблему, из-за которой могут пострадать сайты, находящиеся под влиянием этой системы управления.

В этот раз своей ненадёжностью отличился плагин WooCommerce. С его помощью владельцы сайтов могли продавать товары, то есть раскручивать свой интернет-магазин. Но оказалось, что иметь дело с этим виртуальным помощником очень опасно.

Во-первых, модуль, разделяющий роли для пользователей сайта, находится под полным контролем WordPress. То есть плагин добавляет новую роль пользователю, а потом сильно ограничивает её действие. Таким образом уже пострадала роль Shop Manager, которая обладала функцией изменения учётных записей покупателей. Shop Manager также некорректно работает и в личных кабинетах администраторов сайта.

Во-вторых, Shop Manager удаляет нужные файлы плагина, которые не поддаются восстановлению. Если такая ошибка происходит, то движок должен полностью отключить сам плагин, тогда как менеджер останется активированным и сможет редактировать любые профили.

Чтобы скомпрометировать такой сайт, взломщику достаточно узнать данные для доступа к Shop Manager. После этого хакер сможет полностью заменить админа. А вот настоящий владелец своего магазина не сможет уже получить доступ к своему детищу.

В новой версии WooCommerce эти ошибки исправили, но этот плагин до сих пор остаётся опасным, потому что движок автоматически обновляет всех помощников, которыми пользуются админы. Все ошибки после обновления вновь дают о себе знать.