Експерти з кібербезпеки виявили критичну вразливість у популярному WordPress-плагіні Hunk Companion, яка активно експлуатується зловмисниками. Вразливість, зареєстрована як CVE-2024-11972, отримала критичний рівень загрози 9,8 за шкалою CVSS та дозволяє неавторизованим користувачам встановлювати шкідливі плагіни на вразливі веб-сайти.
Масштаб загрози та технічні деталі
Плагін Hunk Companion, встановлений на понад 10 000 веб-сайтів, є важливим компонентом для розширення функціоналу тем від розробника ThemeHunk. Критична вразливість знаходиться в файлі hunk-companion/import/app/app.php та дозволяє обходити механізми автентифікації. Наразі під загрозою залишаються приблизно 9000 сайтів, оскільки лише 12% користувачів оновили плагін до безпечної версії 1.9.0.
Механізм експлуатації та потенційні наслідки
Зловмисники використовують неавтентифіковані POST-запити для встановлення шкідливих плагінів, що відкриває можливості для різноманітних атак. Серед основних загроз: віддалене виконання коду (RCE), SQL-ін’єкції та міжсайтовий скриптинг (XSS). Дослідники з WPScan зафіксували випадки, коли атакуючі використовують цю вразливість для встановлення застарілого плагіна WP Query Console, який містить критичну RCE-вразливість (CVE-2024-50498) з максимальним рівнем загрози 10.0.
Зв’язок з попередніми вразливостями
Особливу увагу привертає той факт, що CVE-2024-11972 виникла внаслідок неповного виправлення попередньої критичної вразливості CVE-2024-9707. Це свідчить про системні недоліки в процесах розробки та тестування оновлень безпеки плагіна.
З огляду на активну експлуатацію вразливості та серйозність можливих наслідків, адміністраторам WordPress-сайтів наполегливо рекомендується негайно оновити Hunk Companion до версії 1.9.0. Додатково необхідно провести ретельний аудит встановлених плагінів для виявлення несанкціонованих змін та потенційно шкідливого коду. Регулярний моніторинг та своєчасне оновлення компонентів WordPress залишаються ключовими елементами забезпечення безпеки веб-ресурсів.
