כל הכתבות של CyberNow בנושא וורדפרס — 20 כתבות. ניתוחים טכניים, עדכוני אבטחה והתראות בעברית.
בין 29 ל-31 באוקטובר נרשמו ב-NVD 52 רשומות CVE של PHP Object Injection בתוספים ובתבניות של וורדפרס, 30 מהן בציון 9.8. מה שמפריד בין רשומה קריטית לאתר שאי אפשר לנצל בפועל הוא קוד שלא נמצא בתוסף הפגוע בכלל.
בכל פעם שוורדפרס מעדכן את עצמו הוא מניח לכמה שניות עותק שלם של עצמו בתיקייה שהדפדפן יכול להגיע אליה. התיקון יצא ב-28 באוקטובר, ולפי Wordfence התוקפים התחילו לדפוק על הנתיב הזה מיד.
מי שהוריד או עדכן את תוספת ה-SEO Rank Math PRO בחלון של אחת עשרה שעות בין 15 ל-16 באוקטובר קיבל קבצים עם נוזקה. מספר הגרסה לא מבדיל בין עותק נקי לנגוע, ועדכון לגרסה המתוקנת לא מנקה את מה שכבר הושאר על השרת.
חוקרי SOCRadar מצאו שרת HTTP בלי שום הגנה שהגיש את תיקיית העבודה החיה של תוקף, יותר מ-90 אלף קבצים. בתוכם היו יומני ההרצה של 51 סוכני AI שהוא בנה, כולל הפעמים שהמודל סירב לשתף פעולה ומה שהוא עשה אחר כך כדי לעקוף את הסירוב.
חולשה בהרחבת הטפסים Bricksforge לוורדפרס מאפשרת למי שאין לו חשבון באתר להריץ קוד PHP על השרת. ההתקפות התחילו ב-7 באוקטובר, ובשאלה הפשוטה איזו גרסה מתקנת את זה שתי התשובות הקיימות לא מסתדרות.
חוקרי Sucuri תיארו נוזקה באתרי וורדפרס ששומרת את עצמה בשמונה מקומות בבת אחת, בקבצים, במסד הנתונים ובזיכרון השרת, וכל אחד מהם יודע לשחזר את כל האחרים. מי שמנקה רק את התוסף מגלה אותו שוב בבקשה הבאה.
וורדפרס מצרף חתימה חד-פעמית לכל בקשה שמשנה משהו באתר, ו-Elementor דילגה עליה כשהכתובת הכילה מסלול מסוים. התוקף פשוט הדביק את המסלול הזה לכל כתובת אחרת.
חולשה בליבת וורדפרס מאפשרת לתוקף בלי חשבון לגרום לאתר לטעון קובץ PHP מקומי שהוא בחר. הציון 8.1 אומר שהתקיפה מורכבת, וזה נכון, אבל תוך יממה היה לה template מוכן של Nuclei.
חוקרים מחברת pwn.ai הראו שקישור בנוי בקפידה גורם לוורדפרס להתקין ערכת עיצוב מהמאגר הרשמי בלי שמנהל האתר אישר דבר, ובשרשור עם ערכה שיש בה חולשה משלה גם להריץ קוד על השרת. התיקון יצא ב-17 בספטמבר, יחד עם עוד עשר חולשות.
חולשה בתוסף WooCommerce Wholesale Lead Capture מאפשרת לכל אחד להעלות קובץ PHP לאתר בלי להתחבר אליו, ומשם להשתלט עליו. היצרן פרסם תיקון עוד בפברואר, ו-Wordfence מדווחת שחסמה מאז יותר מ-100 אלף ניסיונות ניצול.