15 февраля 2021 года наша команда по анализу угроз инициировала процесс раскрытия уязвимости, которую мы обнаружили в WordPress плагине User Profile Picture, установленном на более чем 60 000 сайтов.
Уязвимость позволяла аутентифицированным пользователям с возможностью upload_files получать конфиденциальную информацию о пользователе.
Первоначально мы обратились к Cozmoslabs, поставщику плагина, 15 февраля 2021 года через их контактную форму. 17 февраля 2021 года Cozmoslabs подтвердил почтовый ящик для обработки обсуждения, и мы отправили полную информацию о раскрытии.
Буквально через день мы получили ответ от разработчика плагина вместе с предложенным патчем для тестирования. Мы подтвердили, что исправление соответствует требованиям, и предоставили дополнительные рекомендации по безопасности. Они выпустили патч в тот же день, 18 февраля 2021 года.
Мы настоятельно рекомендуем немедленно выполнить обновление до полностью пропатченной версии 2.5.0.
Пользователи Wordfence Premium получили правило брандмауэра для защиты от любых попыток использования этой уязвимости 15 февраля 2021 года. Сайты, все еще использующие бесплатную версию Wordfence, получат такую же защиту 17 марта 2021 года.
