CWE-912

The Link Factory WordPress plugin is a backdoor. Distributed as a "homepage sentence publisher", it exposes an operator-controlled REST API under /wp-json/link-factory/v1/ - authenticated by a detached Ed25519 signature verified against a hardcoded operator public key (except for the health check).

Oficjalny bucket S3 służący do dystrybucji aktualizacji wtyczki MonsterInsights Pro został przejęty przez atakującego, który umieścił w nim złośliwy plik `class-system-check.php`. Zainfekowane zostały zarówno wersja 10.2.2, jak i wersja 10.2.0, do której producent próbował się wycofać.

Wtyczka 'Premium SEO' do WordPress jest celowo złośliwa — zawiera wbudowany backdoor umożliwiający nieuprawniony dostęp do pełnej administracji serwisem. Podatność otrzymała maksymalną ocenę CVSS 10.0, ponieważ nieuwierzytelniony atakujący może przejąć pełną kontrolę nad stroną.

Podatność w ukrytej funkcji interfejsu wiersza poleceń (CLI) pozwala nieuwierzytelnionemu atakującemu zdalnie uciec z ograniczonego interfejsu i uzyskać pełną kontrolę nad urządzeniem. Ocena CVSS 10.0 wskazuje na maksymalne ryzyko bez żadnych wymagań wstępnych po stronie atakującego.

Wersja MyBB 1.6.4 została rozpowszechniona z nieautoryzowanym backdoorem wbudowanym w kod źródłowy podczas procesu pakowania. Podatność umożliwia zdalnemu atakującemu wykonanie dowolnego kodu PHP bez jakiejkolwiek autoryzacji, co prowadzi do pełnego przejęcia serwera WWW.

Podatność statycznych danych logowania (CWE-912) w firmware Wavlink AC3000 M33A8 pozwala nieuwierzytelnionemu atakującemu uzyskać dostęp root do urządzenia. Krytyczny poziom zagrożenia (CVSS 10.0) wynika z braku konieczności uwierzytelnienia i możliwości całkowitego przejęcia kontroli nad urządzeniem.

Wiele wtyczek Supsystic Pro zostało rozprowadzonych ze złośliwym kodem za pośrednictwem skompromitowanego serwera aktualizacji producenta. Podatność umożliwia nieuwierzytelnionym atakującym pełne przejęcie kontroli nad dotkniętymi witrynami oraz kradzież poświadczeń i innych wrażliwych danych.

Urządzenie Delta Electronics AS320T zawiera podatność umożliwiającą przeprowadzenie ataku typu DoS (Denial of Service) za pośrednictwem nieudokumentowanej subfunkcji. Podatność jest sklasyfikowana jako krytyczna z wynikiem CVSS 9.8, co wskazuje na możliwość jej wykorzystania zdalnie, bez uwierzytelnienia.

Routery D-Link DIR-X4860 posiadają ukrytą funkcjonalność, która automatycznie aktywuje usługę telnet po podłączeniu portu WAN. Nieautoryzowany atakujący może zalogować się zdalnie przy użyciu zakodowanych na stałe danych uwierzytelniających i wykonywać polecenia systemowe.

W aplikacji Cisco Smart Licensing Utility (CSLU) odkryto zakodowane na stałe, nieudokumentowane dane uwierzytelniające dla konta administracyjnego. Podatność pozwala nieuwierzytelnionemu atakującemu zdalnie zalogować się do systemu z pełnymi uprawnieniami administracyjnymi — jest aktywnie wykorzystywana w realnych atakach.

MinMax CMS firmy MinMax Digital Technology zawiera ukryte konto administratora z niezmiennym, zakodowanym na stałe hasłem, którego nie można usunąć ani wyłączyć z poziomu interfejsu zarządzania. Jest to podatność krytyczna, ponieważ zdalny atakujący może przejąć pełną kontrolę nad systemem bez pozostawiania śladów w logach.

Podatność typu Hidden Functionality (CWE-912) w oprogramowaniu układowym routerów NEC Aterm pozwala nieuwierzytelnionemu atakującemu na zdalne wykonanie dowolnych poleceń systemu operacyjnego z uprawnieniami root. Ze względu na brak wymagań dotyczących uwierzytelnienia oraz możliwość ataku przez internet, zagrożenie jest krytyczne.

W projekcie MvcTools (commit 6d48cd6830fc1df1d8c9d61caa1805fd6a1b7737) odkryto celowo umieszczony backdoor w pliku requirements.txt, który umożliwia zdalne wykonanie dowolnego kodu. Podatność jest szczególnie groźna, ponieważ zagrożenie pochodzi z łańcucha dostaw oprogramowania — złośliwy kod trafia do środowiska ofiary podczas instalacji zależności.

W urządzeniach Solar-Log Gateway wykryto ukryty backdoor, który pozwala nieuwierzytelnionemu atakującemu uzyskać przez panel webowy pełne uprawnienia superadministratora. Podatność jest krytyczna, ponieważ nie wymaga żadnej autoryzacji i jest dostępna zdalnie przez sieć.

W projekcie vSphere_selfuse (commit 2a9fe074a64f6a0dd8ac02f21e2f10d66cac5749) odkryto celowo wbudowany backdoor w pakiecie request, umożliwiający zdalne wykonanie kodu. Podatność jest krytyczna, ponieważ nie wymaga żadnego uwierzytelnienia ani interakcji użytkownika, a atakujący może przejąć pełną kontrolę nad systemem.

W projekcie Passhunt (konkretny commit 54eb987d30ead2b8ebbf1f0b880aa14249323867) wykryto backdoor umożliwiający zdalne wykonanie kodu, wprowadzony za pośrednictwem pakietu 'request'. Podatność jest krytyczna, ponieważ nie wymaga żadnego uwierzytelnienia ani interakcji użytkownika.

Urządzenia ORing net IAP-420 i IAP-420+ z firmware w wersji 2.0m posiadają domyślnie włączony serwer telnet, którego nie można trwale wyłączyć, oraz zakodowane na stałe (hardcoded) dane uwierzytelniające. Podatność umożliwia każdemu napastnikowi uzyskanie pełnej powłoki administracyjnej bez żadnej autoryzacji.

Liczne wtyczki i motywy dostawcy AccessPress Themes (znane również jako Access Keys) zawierają celowo wszczepiony backdoor będący wynikiem kompromitacji strony internetowej dostawcy. Zagrożenie jest krytyczne, ponieważ dotknięte oprogramowanie mogło zostać zainstalowane na wielu stronach WordPress bez wiedzy administratorów.

W systemie mySCADA myPRO w wersjach 8.20.0 i wcześniejszych istnieje nieudokumentowane konto administracyjne, które nie jest widoczne w interfejsie webowym i nie może zostać usunięte ani zmienione przez standardowy panel zarządzania. Stanowi to poważne zagrożenie dla infrastruktury przemysłowej (ICS/SCADA), ponieważ atakujący może przejąć pełną kontrolę nad systemem bez wiedzy administratora.

Podatność klasy Improper Authorization w oprogramowaniu układowym przełączników przemysłowych Pepperl+Fuchs P+F Comtrol RocketLinx polega na aktywnym, niezabezpieczonym serwisie TFTP dostępnym sieciowo. Ze względu na brak uwierzytelnienia i sieciowy wektor ataku podatność jest krytyczna i stwarza poważne ryzyko dla infrastruktury OT/ICS.