Lühidalt: WordPressi REST Batch API valideerimispuudujääk võimaldab autentimiseelset kaugkoodi käivitamist (RCE), andes ründajale täieliku kontrolli veebilehe, andmebaasi ja majutuskeskkonna üle.
WordPressi tuuma REST Batch API-s leiduv haavatavus võimaldab ründajatel ilma autentimiseta ja ilma pistikprogrammideta käivitada suvalist koodi. Turvaauk puudutab versioone 6.9.0 kuni 6.9.4 ja 7.0.0 kuni 7.0.1.
Haavatavus, millest andis teada Searchlight Cyberi töötaja Adam Kues, kannab nimetust wp2shell ja puudutab WordPressi tuuma partii-lõpp-punkti „batch/v1″. Hadriani tehniline analüüs näitab, et sissetulevate partiipäringute valideerimisel tekib indekseerimisviga: päringuobjektid ja neile vastavad õiguste kontrollid ei seostu omavahel korrektselt. See võimaldab pahatahtlikul osapoolel lasta töödelda võltsitud partiipäringut vale autoriseerimiskonteksti all ja seeläbi käivitada suvalist koodi.
WordPress avaldas turvaparandi 17. juulil 2025. Haavatavus on kriitiline, kuna REST Batch API on vaikimisi lubatud ja ligipääsetav mitme tee kaudu – näiteks /wp-json/batch/v1 või /?rest_route=/batch/v1 –, isegi kui URL-i ümberkirjutamise reeglid on konfigureerimata. Edukas rünnak annab ründajale täieliku kontrolli veebilehe ja selle sisu üle, ligipääsu andmebaasile ning selles talletatud sisselogimisandmetele ja isikuandmetele, samuti sisenemispunkti ümbritsevasse majutusinfrastruktuuri.
Mõjutatud süsteemide administraatorid peaksid viivitamatult uuendama WordPressi versioonile 6.9.5 või 7.0.2 ning kontrollima installi õnnestumist. Kui kohest paikamist ei ole võimalik teostada, tuleks mõlemad REST Batch API lõpp-punktid blokeerida volitamata juurdepääsu eest veebiserveri ja veebirakenduse tulemüüri (WAF) tasandil. Paralleelselt on vajalik inventeerida kõik WordPressi kasutuselevõtud – sealhulgas testkeskkonnad ja kasutamata kampaanialehed – ning kontrollida, kas volitamata REST API ligipääs on vastavas keskkonnas tegelikult vajalik.
Allikas: www.csoonline.com · Avaldatud 20. juuli 2026
Lumi AI News — tehisintellekti abil kureeritud vastavalt tehisintellektimääruse artiklile 50. Parafraseerimine ja klassifitseerimine Lumi News Pipeline v1.7.3 poolt.