Новости 8.8 из 10: критическая уязвимость ставит под угрозу сотни тысяч WordPress-сайто

[NewsMaker]

CVE-2025-6463 позволяет хакерам угнать ваш ресурс прямо из-под носа.

---

---

В популярном плагине Forminator для WordPress Для просмотра ссылки Войди или Зарегистрируйся , которая позволяет злоумышленникам без авторизации удалять произвольные файлы на сайте. Эта проблема потенциально может привести к полному захвату ресурсов. Она получила идентификатор Для просмотра ссылки Войди или Зарегистрируйся и классифицируется как критическая — её оценка по шкале CVSS составляет 8,8 балла.

Forminator Forms — разработка компании WPMU DEV. Плагин предлагает гибкий визуальный конструктор, позволяющий владельцам сайтов создавать различные формы и внедрять их на страницы без необходимости программирования. Согласно официальной статистике WordPress.org, на сегодняшний день Forminator активен более чем на 600 тысячах сайтов по всему миру.

Уязвимость кроется в недостаточной проверке и очистке входящих данных форм, а также в небезопасной логике удаления файлов внутри серверного кода плагина. Проблемный участок кода связан с функцией «save_entry_fields()», которая сохраняет значения всех полей формы, включая пути к файлам, не проверяя, предназначено ли конкретное поле для работы с файлами.

Этим поведением могут воспользоваться злоумышленники, подставляя в любое текстовое поле формы специальный массив данных, имитирующий загруженный файл. В таком массиве можно прописать путь к критически важному файлу сайта, например к конфигурационному файлу WordPress — «/var/www/html/wp-config.php». Если затем администратор удалит это поле или активируется автоматическое удаление старых записей, предусмотренное настройками плагина, то система физически сотрёт указанный файл.

Удаление конфигурационного файла WordPress приводит к тому, что сайт переходит в режим первоначальной установки. В этот момент злоумышленник может подключить ресурс к своей базе данных и таким образом получить полный контроль над сайтом.

Как Для просмотра ссылки Войди или Зарегистрируйся команда безопасности Wordfence, именно этот механизм делает Для просмотра ссылки Войди или Зарегистрируйся крайне опасной. Специалисты подчёркивают, что успешная эксплуатация приводит не просто к повреждению файлов, а к ситуации, когда сайт полностью открыт для захвата.

Обнаружил опасность исследователь под псевдонимом Phat RiO из компании BlueRock, который уведомил об этом Wordfence 20 июня. За предоставленную информацию о сбое он получил вознаграждение в размере 8100 долларов. После внутренней проверки специалисты Wordfence связались с разработчиком плагина — компанией WPMU DEV — 23 июня. Представители компании подтвердили существование проблемы и приступили к устранению.

30 июня была выпущена новая версия Forminator под номером 1.44.3. В ней добавлена проверка типов полей и валидация путей к файлам, что исключает возможность удаления чего-либо за пределами каталога загрузок WordPress.

С момента выхода обновления плагин был скачан уже более 200 тысяч раз. Однако точное количество сайтов, которые до сих пор остаются уязвимыми для CVE-2025-6463, Для просмотра ссылки Войди или Зарегистрируйся .

Пользователям, использующим Forminator, настоятельно рекомендуется как можно скорее обновить плагин до последней версии либо временно деактивировать его до установки безопасного варианта. На текущий момент сообщений об активном Для просмотра ссылки Войди или Зарегистрируйся злоумышленниками не поступало. Однако обнародование технических деталей сбоя и относительная простота его эксплуатации повышают риск того, что атаки начнутся в ближайшее время.