Diverse versioni di un plugin per WordPress chiamato “School Management Pro” nascondevano una backdoor che poteva garantire a un avversario il controllo completo sui siti Web vulnerabili.
Al problema, riscontrato nelle versioni premium precedenti alla 9.9.7, è stato assegnato l'identificatore CVE CVE-2022-1609 ed è valutato 10 su 10 per la gravità.
La backdoor, che si ritiene esista dalla versione 8.9, consente “a un utente malintenzionato non autenticato di eseguire codice PHP arbitrario su siti con il plugin installato”, ha spiegato Harald Eilertsen di Jetpack. disse in un articolo di venerdì.
School Management, sviluppato da una società con sede in India chiamata Weblizarviene fatturato come componente aggiuntivo di WordPress per “gestire l'intero funzionamento della scuola”. Afferma inoltre più di 340.000 clienti dei suoi temi e plugin WordPress premium e gratuiti.
La società di sicurezza di WordPress ha notato di aver scoperto l'impianto il 4 maggio dopo essere stata avvisata della presenza di codice fortemente offuscato nel codice di controllo della licenza del plugin. IL versione gratuita of School Management, che non comprime il codice di licenza, non è interessato.
Anche se da allora la backdoor è stata rimossa, le origini esatte della compromissione rimangono poco chiare, con il venditore che afferma di “non sapere quando o come il codice sia entrato nel loro software”.
Si consiglia ai clienti del plugin di aggiornare alla versione più recente (9.9.7) per prevenire tentativi di sfruttamento attivi.