1. Главная
  2. Новости
  3. Критическая уязвимость в WPvivid Backup позволяла загружать PHP-код на более чем 900 000 сайтов

Критическая уязвимость в WPvivid Backup позволяла загружать PHP-код на более чем 900 000 сайтов

Критическая уязвимость в WPvivid Backup позволяла загружать PHP-код на более чем 900 000 сайтов

Критическая уязвимость в популярном WordPress-плагине WPvivid Backup & Migration затронула более 900 000 сайтов. Проблема позволяет злоумышленнику без аутентификации загрузить на сервер произвольный PHP-код и добиться его выполнения.

Уязвимости присвоен идентификатор CVE-2026-1357. По шкале CVSS она получила 9,8 балла, что соответствует критическому уровню риска. Под угрозой оказались все прежние версии плагина. Исправление включено в релиз 0.9.124, опубликованный 28 января.

По данным исследователей Wordfence, проблема связана с некорректной обработкой ошибок при расшифровке сеансового ключа RSA и отсутствием проверки пути при сохранении загруженных файлов. В результате при неудачной попытке расшифровки плагин передавал в криптобиблиотеку phpseclib ложное значение ключа. Библиотека интерпретировала его как строку из нулевых байтов, что фактически приводило к использованию предсказуемого 0-байтового ключа.

Дополнительный риск создавало отсутствие проверки типа и расширения файлов в функции send_to_site(). Это позволяло выйти за пределы защищенного каталога резервных копий и загрузить на сервер произвольный PHP-файл с размещением в публично доступной директории. После этого вредоносный код мог выполняться при обращении через браузер.

Разработчики отмечают, что эксплуатация возможна при включенной функции импорта резервных копий с других сайтов с использованием сгенерированного ключа. По умолчанию эта опция отключена, а срок действия ключа ограничен 24 часами. Тем не менее, с учетом масштаба распространения плагина риск остается значительным.

Исследователь, обнаруживший уязвимость, получил вознаграждение в размере 2145 долларов в рамках программы Wordfence Bug Bounty. Пользователям WPvivid настоятельно рекомендуется немедленно обновить плагин до актуальной версии и проверить настройки импорта резервных копий.

РЕКОМЕНДУЕМ

похожие материалы

Стрелочка
Стрелочка
Продолжается прием заявок на премию «За вклад в безопасность цифрового будущего»
Продолжается прием заявок на премию «За вклад в безопасность цифрового будущего»

Ассоциация по защите деловой информации (BISA) в партнерстве c ГК InfoWatch запустила ежегодную премию «За вклад в безопасность цифрового будущего» — награду для лучших проектов, платформ и лидеров, формирующих безопасное цифровое пространство.

подробнее Стрелочка
УЦСБ помог «ВИБРОБИТ» выстроить безопасную разработку критического ПО для энергетики без расширения штата
УЦСБ помог «ВИБРОБИТ» выстроить безопасную разработку критического ПО для энергетики без расширения штата

Уральский центр систем безопасности (УЦСБ) обеспечил процесс безопасной разработки программного обеспечения для ООО НПП «ВИБРОБИТ» — ведущего разработчика систем вибрационного мониторинга и диагностики роторного оборудования для ТЭЦ, ГРЭС и АЭС.

подробнее Стрелочка
«Лаборатория Касперского» назвала самые распространённые киберугрозы для малого и среднего бизнеса в 2026 году
«Лаборатория Касперского» назвала самые распространённые киберугрозы для малого и среднего бизнеса в 2026 году

Существует достаточно распространённое мнение, что малые и средние предприятия не представляют интерес для злоумышленников — однако на практике это не так.

подробнее Стрелочка