В плагине All-in-One WP Migration and Backup для WordPress выявлена критическая уязвимость, которая позволяет удаленно выполнить произвольный код без аутентификации. Из-за этого злоумышленник может полностью захватить контроль над сайтом, включая доступ к базе данных и файловой системе. По оценкам специалистов, проблема затрагивает примерно 3,2 миллиона ресурсов, где установлены уязвимые версии расширения.

Суть бага кроется в SQL-инъекции, которая возникает при обработке определенных запросов в процессе миграции или восстановления данных. Эксплуатация уязвимости не требует наличия учетной записи администратора, что делает ее особенно опасной для сайтов с открытой регистрацией пользователей. Технические детали указывают на то, что проблема связана с недостаточной фильтрацией входящих параметров перед их подстановкой в SQL-запросы.

Разработчики плагина уже выпустили патч в последней версии, но значительная часть пользователей до сих пор работает на старых сборках. Обычно обновление таких расширений затягивается из-за опасений сломать существующую конфигурацию сайта или из-за простого отсутствия автоматических обновлений. В данном случае рекомендуется обновить плагин в кратчайшие сроки, так как публикация информации об уязвимости почти гарантированно привлечет внимание злоумышленников.

В ближайшее время стоит ожидать волну автоматизированных атак, нацеленных на сайты с устаревшей версией All-in-One WP Migration. Если обновление невозможно, администраторам стоит временно отключить плагин и проверить логи на предмет подозрительной активности. В худшем случае компрометация сайта может привести к утечке пользовательских данных и использованию ресурса для распространения вредоносного ПО.