Backuply: SQL-инъекция в бэкапах, которая ждёт админа

Получил уведомление от Wordfence: у плагина Backuply, установленного на более чем 600 тысячах сайтов, обнаружена уязвимость уровня высокого риска — SQL-инъекция через поле биографии. Она позволяет атакующему с доступом как подписчика поднять привилегии до админа, если админ восстановит заражённый бэкап. Плагин уже обновлён до версии 1.5.9, но многие сайты всё ещё уязвимы.

Это не просто «взлом админки» — это обход проверки, когда злоумышленник заранее прячет вредоносный код в данные, которые потом выполняются при восстановлении. Главное — уязвимость активируется только при восстановлении бэкапа, но это рутинная операция, и она может быть выполнена в любой момент. Считаю, что это особенно опасно, потому что уязвимость скрыта в функции, которую используют даже те, кто не знает, что делает.

На мой взгляд, ключевая проблема — не в самой уязвимости, а в том, что она требует от админа выполнить действие, которое кажется безопасным. Многие не задумываются, что бэкап — это не просто файл, а потенциальный вектор атаки. А ведь даже если у сайта нет публичного регистрационного формы, после эксплуатации она может быть включена автоматически.