W ciągu kilku ostatnich dni wykryto poważne luki związane z bezpieczeństwem w trzech popularnych wtyczkach – WooCommerce, WPML i WordPress SEO by Yoast. Na szczęście we wszystkich tych przypadkach autorzy stanęli na wysokości zadania i bardzo szybko udostępnili nowe, wolne od błędów wersje swoich wtyczek.

Znalezione błędy są na tyle poważne, że zalecana jest jak najszybsza aktualizacja wspomnianych rozszerzeń.

Odkryta przez ekipę WordFence luka we wtyczce WooCommerce pozwala na wykonanie ataku typu SQL Injection. Aby wykorzystać tę lukę trzeba mieć uprawnienia co najmniej menedżera sklepu, tak więc nie ma powodów do paniki – co nie zmienia oczywiście faktu, że wtyczkę zaktualizować trzeba. Błąd poprawiono w wersji 2.3.6, raptem kilka godzin po zgłoszeniu go twórcom.

Kilka dni wcześniej specjaliści z Klikki Oy odkryli aż cztery luki związane z bezpieczeństwem w komercyjnej wtyczce WPML. Błędy pozwalały na ataki typu SQL Injection i XSS, a także na usuwanie wpisów, stron i menu (brak kontroli dostępu w module synchronizacji menu) oraz wykonywanie pewnych funkcji administracyjnych bez posiadania odpowiednich uprawnień. Wszystkie błędy zostały usunięte w wersji 3.1.9.1.

Najpoważniejszym problemem była odkryta przez WPScan luka w bardzo popularnej (grubo ponad milion aktywnych instalacji) wtyczce WordPress SEO by Yoast. Błąd pozwalał na wykonanie ataku typu Blind SQL Injection, który mógł zostać wykorzystany na przykład do utworzenia w atakowanej stronie nowego konta z uprawnieniami administratora. Błąd został usunięty w wersji 1.7.4.