Уязвимость в wordpress

Генеральный директор технологической компании Feedjit Марк Маундер (Mark Maunder) написал на своем блоге информацию об обнаруженной им уязвимости в WordPress. По его мнению, злоумышленники имеют возможность эксплуатировать часто используемое расширение web-платформы, с помощью которого можно получить контроль над web-сайтами жертв. Уязвимость затрагивает практически все страницы сайта, применяющие утилиту для изменения размера изображений TimThumb. По словам Маундера, данная утилита «небезопасна изначально», так как она упрощает работу хакеров по выполнению вредоносного кода. Маундер обнаружил уязвимость после того, как его блог markmaunder.com был взломан. На страницах сайта стала появляться реклама неизвестного происхождения, хотя данная функция была отключена. После тщательного расследования, он пришел к выводу, что злоумышленники использовали TimThumb для загрузки PHP-файла на одну из директорий сайта. Утилита, по словам Маундера, по умолчанию дает возможность удаленно загружать файлы из blogger.com, wordpress.com и еще пяти сайтов, без каких либо проверок. «Если создать на web-сервере файл, подобный такому: http://blogger.com.somebadhackersite.com/badscript.php, а затем дать timthumb.php команду загрузить его, он сделает это и поместит его прямо в кеш, готовым к выполнению», - пишет Маундер. Разработчики TimThumb знают проблему и готовят обновление, которое исправит данную уязвимость.