Критическая уязвимость в WooCommerce Lead Capture — обновляем срочно

Пришло уведомление от Wordfence: у плагина WooCommerce Wholesale Lead Capture нашли критическую уязвимость, которая позволяет неавторизованным злоумышленникам загружать файлы, включая PHP-оболочки. Уязвимость есть в версиях до 2.0.3.1, исправлена в 2.0.3.2. Плагин используется на тысячах сайтов, и уже зафиксировано более 100 тысяч попыток взлома. Уязвимость оценена как 9.8 по шкале CVSS — критическая.

Считаю, что это серьёзно. Даже если сайт не использует этот плагин, важно проверить, не был ли он установлен ранее — в том числе в темах или других плагинах. Один файл с расширением .php, загруженный без проверки, может дать полный контроль над сайтом. Атаки идут не раз — они уже ведутся, и боты сканируют активно.

На мой взгляд, главная опасность — не в самой уязвимости, а в том, что она позволяет обойти все проверки. Плагин не проверяет тип файла на сервере, а полагается на данные, пришедшие от пользователя. Это ошибка, которую легко использовать, и она уже используется. Пока не обновили — сайт открыт.

Уже проверяю у всех клиентов, кто использует WooCommerce. Если плагин установлен — ставлю в план на неделю обновление. Если не установлен — проверяю, не остался ли в системе какой-то файл с таким же поведением. Пока не тороплюсь с массовым обновлением, но уже начал проверять логи на подозрительные запросы к admin-ajax.php.