WordPress плъгин, който автоматично публикува съдържание, събрано (скрапнато) от други сайтове, бе открит с критична уязвимост, която позволява на всеки да качва злонамерени файлове в засегнатите сайтове. Тежестта на уязвимостта е оценена с 9.8 по скала от 1 до 10.
Crawlomatic Multisite Scraper Post Generator Plugin за WordPress
Плъгинът Crawlomatic за WordPress се продава чрез онлайн магазина на Envato CodeCanyon на цена от $59 за лиценз. Той позволява на потребителите да обхождат (crawl-ват) форуми, метеорологични статистики, статии от RSS емисии и директно да извличат съдържание от други сайтове, като след това автоматично го публикуват на собствения си WordPress сайт.
На продуктовата страница на плъгина в Envato CodeCanyon е поставен банер, който подчертава, че авторът на плъгина е признат за спазване на „стандартите за качество на WordPress“ и показва значка, указваща, че плъгинът е в съответствие с изискванията на Envato – „Envato WP Requirements Compliant“, което означава, че отговаря на изискванията за сигурност, качество, производителност и кодиране при WordPress плъгини и теми.
Описанието на плъгина гласи, че той може да обхожда и събира съдържание практически от всеки сайт, включително базирани на JavaScript сайтове, като обещава, че може да превърне сайта на потребителя в „машина за печелене на пари“.
Неавтентифицирано произволно качване на файлове
Плъгинът Crawlomatic за WordPress не съдържа проверка за типа на файловете във всички версии до и включително версия 2.6.8.1.
Според предупреждение, публикувано от Wordfence:
„Плъгинът Crawlomatic Multipage Scraper Post Generator за WordPress е уязвим на произволно качване на файлове поради липсваща проверка на типа файл във функцията
crawlomatic_generate_featured_image()във всички версии до и включително 2.6.8.1. Това прави възможно за неавтентифицирани нападатели да качват произволни файлове на сървъра на засегнатия сайт, което може да позволи дистанционно изпълнение на код (remote code execution).“
От Wordfence препоръчват на всички потребители на плъгина да актуализират до поне версия 2.6.8.2.
