Специалисты Jetpack обнаружили уязвимость в плагине School Management. Это расширение для WordPress-сайтов, которое предназначено для управления работой школы, в том числе деятельностью внутри классов и секций, активностями учащихся и персонала, школьными мероприятиями и библиотекой.
Встроенный бэкдор позволял злоумышленникам выполнять произвольный PHP-код, повышать привилегии, изменять содержание страниц и получать полный контроль над уязвимым сайтом. Отмечается, что затронуты премиум-версии плагина, т.е. School Management Pro, с номера 8.9 и до 9.9.7 (бесплатные версии вне опасности). Уязвимость получила идентификатор CVE-2022-1609 и 10 баллов из 10 по шкале оценки опасностей.
4 мая специалисты Jetpack выявили уязвимость в коде проверки лицензии плагина – в сильно запутанном участке кода был обнаружен встроенный бэкдор. После этого они сообщили о проблеме создателям School Management, компании Weblizar. Разработчики быстро выпустили исправленную версию, а также отметили, что им неизвестно, когда и как бэкдор был внедрен в их продукт.
Комментарии