В WordPress-плагине File Manager, насчитывающем более 700 тысяч активных установок, выявлена уязвимость,
позволяющая запускать произвольные команды и PHP-скрипты на сервере. Проблема проявляется в выпусках File Manager
с 6.0 по 6.8 и устранена в выпуске 6.9.
Плагин File Manager предоставляет инструменты для управления файлами для администратора WordPress, используя
для низкоуровневых манипуляций с файлами входящую в состав библиотеку elFinder. В исходном коде библиотеки elFinder
присутствуют файлы с примерами кода, которые поставляются в рабочем каталоге с расширением ".dist". Уязвимость вызвана
тем, что при поставке библиотеки файл «connector.minimal.php.dist» был переименован в «connector.minimal.php» и стал
доступен для выполнения при отправке внешних запросов. Указанный скрипт позволяет выполнить любые операции с
файлами (upload, open, editor, rename, rm и т.п.), так как его параметры передаются в функцию run() основного
плагина, что может использоваться для замены PHP-файлов в WordPress и запуска произвольного кода.
Если Вы используете такой плагин на Вашем Wordpress сайте, рекомендуем незамедлительно его обновить или удалить вообще.
Если Вы стали жертвой взлома через этот плагин, то обратитесь в нашу техническую поддержку для оказания помощи в
восстановлении сайта и удалении проблемного плагина.
Напоминаем, что безопасность сайтов Ваших зависит исключительно от Вас. Всегда и своевременно обновляйте CMS и все
плагины, которые используете. Именно эти действия защитят Вас от взломов и проблем, которые они сопровождают.
