Скачать или смотреть 100 000 сайтов WordPress пострадали от уязвимости повышения привилегий в плагине AI Engine

100 000 сайтов WordPress пострадали от уязвимости повышения привилегий в плагине AI Engine

Запись в блоге: https://www.wordfence.com/blog/2025/1...

Последние отчёты:    • WordPress Vulnerability Reports by Wordfence  

🛡️ Скачать Wordfence: https://www.wordfence.com/products/pr...
🔵 Попробуйте Wordfence Central - https://www.wordfence.com/help/central/
⭐ Более 5 миллионов сайтов доверяют Wordfence

4 октября 2025 года мы получили Сообщение об уязвимости, связанной с раскрытием конфиденциальной информации, в AI Engine, плагине для WordPress с более чем 100 000 активных установок. Эта уязвимость может быть использована неаутентифицированными злоумышленниками для извлечения токена носителя, а затем получения полного доступа к MCP и выполнения различных команд, таких как «wp_update_user», что позволяет им повысить свои привилегии до администраторов, обновив свою роль пользователя. Обратите внимание, что эта уязвимость критически затрагивает только пользователей, которые включили «URL без авторизации» в настройках MCP, которая по умолчанию отключена.

Респект Эмилиано Версини, который обнаружил эту уязвимость и ответственно сообщил об этой уязвимости через программу вознаграждений за ошибки Wordfence. Эта уязвимость была раскрыта нашей программе всего через день после её появления. Этот исследователь получил вознаграждение в размере 2145 долларов США за это открытие. Наша миссия — обеспечить безопасность WordPress посредством глубокой защиты, поэтому мы инвестируем в качественные исследования уязвимостей и сотрудничаем с исследователями такого уровня в рамках нашей программы вознаграждений за найденные ошибки (Bug Bounty Program). Мы стремимся сделать экосистему WordPress более безопасной, выявляя и предотвращая уязвимости, что является критически важным элементом нашего многоуровневого подхода к безопасности.

Пользователи подписок Wordfence Premium, Wordfence Care и Wordfence Response получили правило брандмауэра для защиты от любых эксплойтов, нацеленных на эту уязвимость, 15 октября 2025 года. Сайты, использующие бесплатную версию Wordfence, получат такую ​​же защиту 30 дней спустя, 14 ноября 2025 года.

Мы мгновенно предоставили полную информацию о раскрытии информации Джорди Мяу через наш портал управления уязвимостями Wordfence 14 октября 2025 года. Разработчик выпустил исправление 19 октября 2025 года. Мы хотели бы поблагодарить Джорди Мяу за его оперативный ответ и своевременное исправление.

Мы хотели бы обратить внимание на то, что у тех, кто включил эту настройку, токен носителя мог быть раскрыт на их сайтах. Это означает, что единственным безопасным решением является ротация токена, поэтому мы рекомендуем выполнить это действие немедленно.

Мы настоятельно рекомендуем пользователям обновить свои сайты до последней версии AI Engine (3.1.4 на момент публикации) и как можно скорее изменить токен на странице настроек.

Подробнее читайте в полной версии блога:

https://www.wordfence.com/blog/2025/1...

Будьте в курсе событий и будьте в безопасности: ознакомьтесь с подробной информацией и экспертным анализом

Блог Wordfence: https://www.wordfence.com/blog/

🔗 Получите Wordfence сегодня: https://www.wordfence.com/
🔐 Узнайте больше о безопасности WordPress: https://www.wordfence.com/learn/

🎥 Посмотрите полную серию «Основы безопасности WordPress» здесь:

   • WordPress Security Essentials by Wordfence...  

Wordfence разработан для глубокой защиты, предоставляя вам многоуровневый подход к Безопасность с нашим набором функций.

#WordPress #WordPressSecurity #Кибербезопасность #Защитасайта #Wordfence #Безопасностьонлайн #Wordpress

===== Защитите свой сайт с Wordfence =====

✅ Получите Wordfence бесплатно: https://www.wordfence.com/products/wo...
✅ Получите Wordfence Premium: https://www.wordfence.com/products/wo...
✅ Получите Wordfence Care: https://www.wordfence.com/products/wo...
✅ Получите Wordfence Response: https://www.wordfence.com/products/wo...

📝 Журнал аудита Wordfence:
Все премиум-планы Wordfence включают доступ к журналу аудита Wordfence — для регистрации, безопасного хранения и защиты важных событий безопасности для криминалистического анализа.

🔵 Подключите свои сайты к Wordfence Central:
https://www.wordfence.com/help/central/
Управляйте всеми своими сайтами WordPress с единой централизованной панели управления.

💸 Хотите зарабатывать, продвигая Wordfence? Присоединяйтесь к партнёрской программе Wordfence:
👉 Узнайте больше:    • How To Earn Money With The Wordfence Affil...  
👉 Присоединяйтесь: https://www.wordfence.com/affiliate

🐞 Зарабатывайте деньги в нашей программе вознаграждений за найденные ошибки:
Найдите уязвимости в плагинах и темах WordPress и получите вознаграждение!
👉 Присоединяйтесь: https://www.wo...