Tłumaczenie strony na kilka języków raczej nie brzmi jak funkcja, przez którą ktoś może przejąć cały WordPress. Prawda?

A jednak właśnie taki problem wykryto w popularnej wtyczce TranslatePress, używanej na ponad 400 tysiącach stron.

Problem dotyczy wersji 3.3.1 i starszych. W pewnych warunkach osoba z internetu, która nie ma żadnego konta na Twojej stronie, może zdobyć link służący administratorowi do ustawienia nowego hasła. Potem może ustawić własne hasło i zalogować się na konto administratora. Aż za prosto, co nie?

WebsiteGarage / Usługi

Sprawdź nasze usługi.

Czyli nie mówimy o źle przetłumaczonym przycisku albo rozsypanym menu.

Mówimy o możliwości przejęcia administracji nad stroną.

Kogo to dotyczy?

Nie każda strona z TranslatePress była podatna w identyczny sposób. Atak jest możliwy wtedy, gdy język ustawiony w profilu administratora jest jednym z dodatkowych języków opublikowanych na stronie.

Tylko że właściciel firmy naprawdę nie powinien teraz analizować ustawień językowych kont administratorów i zastanawiać się, czy przypadkiem spełnia wszystkie warunki ataku.

Jeżeli korzystasz z TranslatePress, odpowiedź jest znacznie prostsza:

sprawdź wersję i zaktualizuj.

Co zrobić teraz?

Jeżeli masz TranslatePress 3.3.1 lub starszy, zaktualizuj wtyczkę. Problem został naprawiony w wersji 3.3.2, a w WordPress.org dostępna jest już nowsza wersja 3.3.3.

Jeżeli stroną opiekuje się ktoś inny, nie musisz wiedzieć, gdzie tego szukać. Wyślij mu jedno pytanie:

„Czy mamy TranslatePress i czy jest aktualny?”

Jeśli strona przez jakiś czas działała na podatnej wersji i spełniała warunki ataku, warto dodatkowo poprosić osobę opiekującą się WordPressem o sprawdzenie, czy nie pojawiły się nieznane konta administratorów albo inne oznaki nieautoryzowanego dostępu.

Sama aktualizacja zamyka problem na przyszłość. Nie cofnie jednak czegoś, co mogło wydarzyć się wcześniej.

„Mam Wordfence, więc mnie to nie dotyczy”?

Nie zakładałabym tego.

Płatne wersje Wordfence dostały dodatkową ochronę przed tym konkretnym atakiem 13 sierpnia. Darmowa wersja ma dostać tę samą regułę dopiero 12 września.

Przede wszystkim jednak firewall nie powinien być powodem, żeby zostawić podatną wtyczkę. Poprawiona wersja istnieje, więc właściwym rozwiązaniem jest po prostu aktualizacja.

Co może się stać po przejęciu konta administratora?

Administrator WordPressa ma bardzo szerokie możliwości. Ktoś, kto przejmie takie konto, może zmieniać treść strony, tworzyć kolejne konta, instalować dodatkowe oprogramowanie albo zostawić sobie ukryty sposób powrotu.

W przypadku sklepu czy strony zbierającej dane przez formularze konsekwencje mogą być oczywiście znacznie poważniejsze niż podmiana strony głównej.

I właśnie dlatego ta luka zasługuje na reakcję nawet wtedy, gdy Twoja strona dzisiaj wygląda zupełnie normalnie.

WEBSITEGARAGE MÓWI

To jest piękny przykład problemu pod tytułem:

„Przecież to tylko plugin do tłumaczeń”

W WordPressie „tylko plugin do…” bywa bardzo złowrogim początkiem zdania.

Wtyczka nie musi mieć w nazwie Security, Login ani User Management, żeby błąd w niej ostatecznie dał komuś dostęp do administratora.

I właśnie dlatego sensowne utrzymanie WordPressa nie polega na czekaniu, aż strona przestanie działać. Bo tutaj mogłaby działać znakomicie.

Łącznie z nowym administratorem, którego nigdy nie tworzyłeś.

Jeżeli korzystasz z TranslatePress: sprawdź wersję i zaktualizuj.

Pięć minut dzisiaj jest zdecydowanie przyjemniejsze niż późniejsze ustalanie, kto właściwie ma dostęp do Twojej strony. Albo gdzie podziały się Twoje dane.