ИБ-исследователи из Alert Logic обнаружили уязвимость в WordPress-плагине WP Live Chat Support. Баг позволяет неавторизованным злоумышленникам получать историю переписки с клиентами и управлять текущими сессиями чатов. Под угрозой оказались более 50 тыс. веб-сайтов, на которых уязвимый плагин используется для общения с посетителями. Администраторам ресурсов рекомендуется срочно обновить WP Live Chat Support.

Проблема возникает из-за некорректного процесса валидации данных пользователей. Ошибка в функции wplc_api_permission_check() позволяет преступникам без дополнительных привилегий и авторизации на веб-сайте получить доступ к конечным точкам REST API. Потенциальные злоумышленники могут воспользоваться этим багом, чтобы извлечь логи переписки, а также редактировать и вставлять сообщения в текущие сессии чатов. Таким образом они могут выдавать себя, например, за сотрудников компаний.

Исследователи из Alert Logic не обнаружили случаев эксплуатации уязвимости и считают, что она вряд ли активно использовалась преступниками. Ошибка наблюдается в 8.0.32 и более ранних версиях плагина. Эксперты сообщили о ней разработчикам 29 мая 2019 года, и уже через три дня создатели плагина выпустили обновление 8.0.33, в котором проблема устранена.

Несмотря на то, что для исправления бага администраторам сайтов достаточно обновить плагин до более новой версии, киберпреступники могут использовать информацию об ошибке для атак на непропатченные веб-ресурсы.

Месяц назад аналитики из компании Sucuri нашли в WP Live Chat Support другую опасную уязвимость. Она позволяла неавторизованным злоумышленникам проводить XSS-атаки и внедрять вредоносный код на все страницы сайтов, где используется расширение. Вскоре после публикации информации о баге исследователи из ZScaler обнаружили первые попытки его эксплуатации. Злоумышленники внедряли на уязвимые сайты скрипт, который перенаправлял жертв на мошеннические веб-ресурсы, вызывал всплывающие окна и поддельные формы подписки на платные услуги.

Категории: Уязвимости