Критическая уязвимость в WPMU DEV Dashboard — обход аутентификации

Прочитал у Wordfence, что в плагине WPMU DEV Dashboard нашли критическую уязвимость — обход аутентификации с возможностью получения прав администратора. Затрагивает версии до 5.0.1, если включён Hub SSO. Уязвимость критическая — CVSS 9.8. Плагин устанавливали на десятки тысяч сайтов, включая те, что у клиентов. Патч вышел 24 августа, а защитные правила для платных пользователей — уже 25-го. Ситуация серьёзная: если плагин активен, сайт может быть взломан без пароля.

Обход аутентификации работает из-за несогласованности в формировании HMAC-подписи между двумя шагами SSO. В первом шаге в подпись включается домен, во втором — нет. Атакующий может перепутать поля и воспользоваться подписью, полученной от первого шага, чтобы получить доступ админа. Даже если не знаешь ключ, можно обойти проверку — просто перебросить домен в поле redirect. Это не просто баг, а архитектурная ошибка.

Считаю, что это не просто «ещё одна уязвимость» — это сигнал: если в системе есть обход проверок, значит, есть и другие, которые пока не найдены. Особенно тревожит, что уязвимость была в сервисе, который работает с авторизацией и доступом к коду. Если у клиента включён SSO — это не просто «проверить обновление», а срочно проверить, кто на сайте, что в коде и не заражён ли уже.

Уже начал проверять у клиентов, где установлен WPMU DEV Dashboard. У тех, у кого версия ниже 5.0.2 — в план на неделю поставили обновление. У кого не получается сразу — отключили Hub SSO. Пока не обновили — сайт в зоне риска. Проверяю, нет ли вредоносного кода, и на всякий случай смотрю логи входов. Ситуация не прошла — она требует действия, а не просто «посмотреть». И да, у меня в системе есть проверка по VirusTotal, но это уже не профилактика — это следствие.