Плагин WordPress с 900 тысячами установок уязвим к критической уязвимости удаленного выполнения (RCE).

[admin]

Критическая уязвимость в плагине WPvivid Backup & Migration для WordPress, установленном более чем на 900 000 веб-сайтов, может быть использована для удаленного выполнения кода путем загрузки произвольных файлов без аутентификации.


Уязвимость безопасности отслеживается как CVE-2026-1357 и получила оценку серьезности 9,8. Она затрагивает все версии плагина до 0.9.123 включительно и может привести к полному захвату веб-сайта.


Несмотря на серьезность проблемы, исследователи из компании Defiant, занимающейся безопасностью WordPress, утверждают, что критическое воздействие оказывается только на сайты, у которых включена нестандартная опция «получать резервную копию с другого сайта».

Кроме того, у злоумышленников есть 24-часовой период для эксплуатации уязвимости, который соответствует сроку действия сгенерированного ключа, необходимого другим сайтам для отправки резервных файлов.


Это требование ограничивает реальную уязвимость; однако плагин обычно используется для миграции сайтов и передачи резервных копий между хостами, поэтому администраторы веб-сайтов, скорее всего, включат эту функцию в какой-то момент, по крайней мере временно.

Исследователь Лукас Монтес (NiRoX) сообщил об уязвимости компании Defiant 12 января. Основная причина заключается в некорректной обработке ошибок при расшифровке RSA в сочетании с недостаточной проверкой пути.


В частности, если функция ' openssl_private_decrypt() ' завершается с ошибкой, плагин не останавливает выполнение, а вместо этого передает результат ошибки (false) в подпрограмму AES (Rijndael).


Криптографическая библиотека обрабатывает это как строку нулевых байтов, создавая предсказуемый ключ шифрования, который злоумышленник может использовать для создания вредоносных программ, которые плагин сможет принять.


Кроме того, плагин не смог должным образом проверить имена загружаемых файлов, что позволило осуществлять обход каталогов. Это дает возможность записывать файлы за пределы предназначенного для резервного копирования каталога и загружать вредоносные PHP-файлы для удаленного выполнения кода.


Компания Defiant уведомила поставщика, WPVividPlugins, 22 января после подтверждения работоспособности предоставленного концептуального эксплойта. обновление безопасности, устраняющее уязвимость CVE-2026-1357 . 28 января в версии 0.9.124 было выпущено

Исправление включает в себя добавление проверки для остановки выполнения в случае сбоя расшифровки RSA, добавление проверки чистоты имен файлов и ограничение загрузки только разрешенными типами файлов резервных копий, такими как ZIP, GZ, TAR и SQL.


Пользователям плагина WPvivid Backup & Migration для WordPress следует помнить о рисках, связанных с этой уязвимостью, и как можно скорее обновить его до версии 0.9.124.