Duplicator: критическая уязвимость через комментарии

Прочитал, что Wordfence обнаружила критическую уязвимость в плагине Duplicator — PHP-десериализация без проверки авторизации. Она есть в версиях до 1.5.17 (Free) и 4.6.10 (Pro), и позволяет атакующему, не зная пароля, залить в сайт вредоносный код через обычный комментарий. Если админ позже создаст пакет миграции с этим комментарием — система сама активирует уязвимость. В бесплатной версии — выполнение произвольных команд на сервере. В Pro — удаление файлов, вплоть до wp-config.php, что может привести к захвату сайта. Уязвимость оценена как High (8.8 по CVSS), и уже исправлена в 5.0.0.

Считаю, что это особенно опасно, потому что уязвимость не требует входа — злоумышленник просто пишет комментарий. А потом ждёт, пока админ создаст пакет. Это не «взлом админки», а обход проверки. И если у клиента включён Duplicator — это точка входа, которую можно использовать и для майнинга, и для бэкдоров. Особенно если сайт уже был заражён — в таких случаях уязвимость может быть уже использована, но не замечена.

На мой взгляд, главное — не просто обновить, а проверить, не было ли уже пакетов, созданных в уязвимой версии. Потому что сам пакет не опасен, пока не используется. Но если он уже был импортирован — может быть скрытый код. У себя уже начал проверять все активные пакеты у клиентов, кто использует Duplicator. И пока не сталкиваюсь с критичными случаями — но уже поставил в план на неделю: проверить всех, у кого плагин установлен, и обновить, если нужно.