Опасная уязвимость в WordPress-плагине Ultimate Member (более 200 тыс. активных установок) может использоваться для внедрения вредоносных скриптов. Брешь получила идентификатор CVE-2024-2123 и является по своей сути XSS.
О проблеме предупредили исследователи из команды Wordfence, отметив, что злонамеренные скрипты внедряются таким образом, чтобы запускаться при каждой загрузке веб-страницы. Корень уязвимости кроется в некорректной обработке вводимых данных, а также в недостаточном экранировании вывода.
Небезопасная имплементация функциональности списка каталога пользователей позволяет не прошедшим аутентификацию злоумышленникам проводить инъекцию скриптов. Поскольку выводимое имя пользователя отображается в шаблонах файлов без экранирования, атакующих может при регистрации указать в поле для имени вредоносный сценарий.
Как правило, уязвимости такого класса используются для создания аккаунтов с правами администратора, перенаправления пользователей на фишинговые ресурсы и внедрения бэкдоров. Проблема затрагивает Ultimate Member 2.8.3 и более ранние версии плагина.
Пользователям рекомендуют установить релиз под номером 2.8.4. Вчера мы писали про дыру в другом плагине — Popup Builder, которая помогла злоумышленникам заразить тысячи сайтов.