UpdraftPlus WordPress插件更新强制百万站点

最后更新：2022.02.24

WordPress强制更新Updraft Plugin补丁的300万站点以修复高度严重性漏洞。 WordPress已强制更新UpdraftPlus插件约为300万个站点来解决高度严重性漏洞，跟踪为 cve-2022-0633（CVSS V3.1得分为8.5），可以允许网站订阅者下载最新的数据库备份，这可能包含敏感数据。在2.22.3之前免费的UPDRAFTPLUS WordPress插件在2.22.3之前没有正确验证用户具有所需的权限以访问备份Once标识符，这可能允许站点上的帐户（如订阅者）下载最近的网站＆amp;数据库备份。读取此问题的咨询。

在插件的内部审计期间发现了Marc Montpas。

插件使用自定义“unces”和timest放大器安全地识别备份。鉴于所述omce和时间戳的知识可以让某人访问相当多的插件的功能，确保这些信息只能访问那些合法地需要它至关重要的人。报告了分析。不幸的是，正如我们所证明的那样，并非如此。

问题影响版本1.16.7至1.22.2的插件，开发团队通过释放解决了它（支付的）高级版本为1.22.3或2.22.3。

插件允许用户轻松执行手动或计划备份，它允许直接从WordPress控制面板恢复备份。问题是一个不正确的用户验证错误，可以允许低级经过身份验证的用户来制作有效链接，允许它们下载文件。

攻击链通过发送包含数据参数的心跳请求来获取有关的信息迄今为止网站的最新备份。

攻击者因此，可以制作针对这一心跳回调的恶意请求，以获取有关该网站最新备份的信息到日期，其中包括备份的Once。继续报告。此信息可以允许攻击者通过操纵请求来通过邮件接收备份。

UPDRAFTPLOS_ADMIN :: MAST_DOWNLOAD_BACKUP_FROM_EMAIL方法挂钩admin_init没有直接验证用户的角色。继续分析。虽然它确实间接应用一些检查，例如检查 $ pagenow

全局变量，过去的研究显示了这个变量可以包含任意用户输入。糟糕的演员可以使用这个端点下载文件＆amp;基于他们从上述心跳虫泄漏的信息的数据库备份。

以下是该漏洞的时间表： - 2022-02-14 - 与UpdraftPlus初始接触202.2-02-15 - 我们将详细信息发送有关此漏洞的详细信息 2022-02-16 - UpdraftPlus 1.22.3已发布，强制自动更新启动

- END -