CMS / DATA PUBLICZNEGO OGŁOSZENIA
WordPress REST API: zmiana treści bez konta
Błąd w REST API pozwalał zmieniać treść stron bez wymaganych uprawnień w dwóch wydaniach WordPressa.
Co się wydarzyło?
1 lutego 2017 roku WordPress ujawnił dodatkową poprawkę bezpieczeństwa w wydaniu 4.7.2. Samo wydanie było dostępne już od 26 stycznia. Szczegóły opublikowano później, aby dać automatycznym aktualizacjom czas na zabezpieczenie stron.
Problem dotyczył kontroli uprawnień w REST API i obejmował WordPress 4.7 oraz 4.7.1. Starsze wersje nie miały tej konkretnej luki, co nie oznaczało ogólnego bezpieczeństwa nieaktualnych instalacji.
Co to oznacza dla administratora?
Panel logowania nie jest jedyną drogą do danych CMS. Trzeba uwzględniać interfejsy API, kontrolować zmiany treści i zachowywać sprawdzone kopie. Data poprawki może poprzedzać publiczne wyjaśnienie podatności.