Независимый исследователь информационной безопасности Дэвид Ваартес обнаружил опасную уязвимость в All in One SEO Pack, одном из самых популярных плагинов для WordPress. Благодаря ей злоумышленник может перехватить учетную запись администратора сайта.
All in One SEO Pack предоставляет администраторам WordPress-сайтов ряд функций, позволяющих проводить поисковую оптимизацию сайта. По информации из официального каталога плагинов, установлен All in One Seo Pack на более чем миллионе сайтов.
Баг скрывается в модуле Bad Bot Blocker, служащем для защиты сайта от ботов и спама. Из-за уязвимости злоумышленник может сделать запрос от имени одного из заблокированных ботов, добавив в конце произвольный код, который окажется встроен в страницу административной панели сайта и будет исполнен браузером. Таким образом взломщик может совершить XSS-атаку, перехватить сессию и получить доступ к панели администратора.
Разработчик All in One SEO Pack уже выпустил исправление уязвимости и советует всем пользователям как можно скорее обновиться до последней версии плагина.