Dacă ați primit de la mine un e-mail care trimite către această pagină, este pentru că site-ul dumneavoastră pare să folosească o versiune de Link Library (pluginul WordPress realizat de Yannick Lefebvre, care se află în fișierele dumneavoastră la /wp-content/plugins/link-library/) care se încadrează în intervalul afectat de o problemă de securitate cunoscută. Această pagină explică în ce constă problema, cum verificați ce versiune aveți, cum actualizați și ce este de făcut după aceea.

Problema este CVE-2026-16532, o vulnerabilitate de injecție SQL fără autentificare, accesibilă prin gestionarea trimiterilor de linkuri din plugin. Afectează fiecare versiune anterioară lui 7.9.3 și este remediată în 7.9.3. Versiunea curentă la momentul redactării este 7.9.4, care include și ea remedierea. Dacă folosiți orice versiune mai veche decât 7.9.3, actualizați Link Library la 7.9.3 sau mai nouă.

Un lucru asupra căruia merită să fim limpezi: nu există o versiune mai veche care să fie sigură. Nu este o vulnerabilitate introdusă la un moment dat în istoria pluginului și remediată ulterior. Codul vulnerabil este prezent în fiecare versiune publicată pe care am putut să o verific, până la cea mai veche versiune pe care directorul WordPress.org o mai oferă. „Instalarea mea este prea veche ca să fie afectată” nu este o portiță de scăpare aici. Singurele versiuni neafectate sunt 7.9.3 și cele mai noi.

La fel de important: această notificare nu depinde de modul în care este configurat site-ul dumneavoastră. Link Library include un formular care le permite vizitatorilor să sugereze linkuri, iar presupunerea firească este că un site este expus doar dacă a pus efectiv acel formular pe vreo pagină. Presupunerea este greșită. Codul afectat rulează la fiecare cerere obișnuită către partea publică a site-ului, indiferent dacă ați publicat vreodată formularul de trimitere, iar setările implicite ale pluginului nu îl blochează. Dacă site-ul dumneavoastră rulează o versiune afectată, problema este accesibilă. Punct.

Aceasta este o vulnerabilitate a pluginului, nu a nucleului WordPress. Un WordPress complet actualizat nu vă protejează dacă pluginul Link Library în sine se află pe o versiune afectată.

Este legitim acest mesaj?

Da. Este o notificare de bună-credință, în spiritul dezvăluirii responsabile, din partea unui cercetător independent în securitate. Nu vă cer bani, parole sau acces la site și nu am încercat să pătrund în el, să îi trimit ceva sau să exploatez ceva.

Am consultat doar fișiere vizibile public pe care site-ul dumneavoastră le servește oricărui vizitator (la fel cum pagina de start este publică) și am notat numărul de versiune pe care îl publică pluginul. În mod special nu am trimis nimic către funcția de trimitere a linkurilor din plugin, nici pe site-ul dumneavoastră, nici pe altul, iar nimic din această verificare nu atinge datele dumneavoastră, zona de administrare sau vreo parte privată a site-ului (mai multe la Ce am făcut și ce nu am făcut mai jos).

Dacă doriți să verificați cine sunt, găsiți datele de contact la finalul acestei pagini și pe pagina Despre.

De ce contează

Link Library construiește și afișează directoare de linkuri pe site-ul dumneavoastră și poate primi sugestii de linkuri de la vizitatori. Gestionarea sugestiilor este locul în care se află această problemă.

În versiunile afectate, atunci când pluginul procesează un link trimis, verificarea sa privind existența prealabilă a acelui link construiește o interogare în baza de date lipind valorile primite direct în ea. Valorile sunt curățate pentru afișare, dar nu sunt escapate pentru utilizarea în SQL, iar interogarea rulează fără o instrucțiune pregătită. Consecința este că un vizitator care nu este autentificat poate modifica acea interogare și poate citi date din baza de date a site-ului dumneavoastră. Versiunea 7.9.3 rescrie interogarea astfel încât să folosească o instrucțiune pregătită, ceea ce închide problema.

Ca să repet ideea de la început, pentru că este cea mai de natură să vă dea o falsă liniște: expunerea nu depinde de publicarea formularului de trimitere undeva pe site-ul dumneavoastră. Calea de cod care procesează trimiterile ascultă la fiecare cerere către partea publică a site-ului, iar tot ce îi trebuie unei cereri ca să ajungă la ea se poate obține chiar din plugin, fără să existe vreun formular pe vreo pagină. Dacă site-ul dumneavoastră este expus se reduce la un singur lucru: versiunea pe care o folosiți.

Merită de asemenea să fim exacți în privința a ceea ce este și a ceea ce nu este această problemă. Îi permite unui atacator să citească date din baza de date. Este grav în sine, întrucât o bază de date WordPress conține lucruri precum adresele de e-mail ale utilizatorilor și parole stocate ca amprente criptografice, iar pe unele site-uri date despre clienți sau membri. Dar nu este, în sine, execuție de cod la distanță, preluarea site-ului sau o modalitate prin care un atacator să își acorde singur un cont de administrator. Este mai îngustă decât problemele de compromitere totală despre care scriu în alte părți, și prefer să stabilesc cinstit amploarea decât să vă las cu o impresie mai înspăimântătoare decât o susțin faptele.

Descriu totul la nivelul de care are nevoie un proprietar de site pentru a acționa, și nu mai departe. Nu public detaliile care i-ar permite cuiva să reproducă problema și v-aș ruga să nu încercați acest lucru nici pe site-ul dumneavoastră, nici pe al altcuiva. Citirea numărului de versiune, așa cum este descris mai jos, vă spune tot ce vă trebuie ca să decideți ce aveți de făcut.

Dacă e-mailul meu a invocat această problemă, înseamnă că versiunea raportată de site-ul dumneavoastră este mai veche decât 7.9.3. Nu am testat dacă site-ul dumneavoastră anume este exploatabil; tot ce am observat este versiunea.

Sunt afectat?

Totul se rezumă la o întrebare: ce versiune de Link Library folosiți?

Din zona de administrare WordPress (sursa de referință):

  1. Autentificați-vă în panoul WordPress (de obicei domeniuldvs.ro/wp-admin).
  2. Mergeți la Pluginuri, apoi Pluginuri instalate.
  3. Găsiți Link Library, intrarea al cărei folder este link-library, și notați versiunea afișată sub numele său.

Din manifestul public (fără autentificare): deschideți în browser domeniuldvs.ro/wp-content/plugins/link-library/readme.txt. Linia Stable tag: din apropierea începutului este versiunea pe care o raportează instalarea dumneavoastră, și este același fișier public pe care l-am citit eu. Pentru acest plugin am verificat că se potrivește cu codul efectiv lansat la fiecare versiune recentă, deci este o verificare de încredere.

O verificare care nu funcționează pentru acest plugin, așa că vă rog să nu vă bazați pe ea. Dacă obișnuiți să citiți versiunile pluginurilor din numărul ?ver= atașat unui script sau unei foi de stil din sursa paginii, aici veți fi indus în eroare. Numerele de versiune de pe adresele resurselor acestui plugin sunt versiunile înghețate ale unor biblioteci terțe incluse (valori precum 4.0.1, 1.0.0 sau 1.3.9), ori versiunea nucleului WordPress. Niciunul dintre ele nu este versiunea pluginului, iar compararea oricăruia dintre ele cu 7.9.3 nu are niciun sens. Folosiți ecranul de administrare sau readme.txt.

Încă un caz particular: unele instalări foarte vechi afișează Stable tag: trunk în readme.txt. Acesta nu este deloc un număr de versiune. Dacă îl vedeți, folosiți în schimb ecranul de pluginuri din administrare și tratați instalarea ca fiind afectată până când ecranul vă spune altceva, întrucât o instalare suficient de veche cât să spună trunk este cu siguranță mai veche decât 7.9.3.

Aplicați apoi această regulă:

  • Orice versiune mai veche decât 7.9.3: afectată. Actualizați. Nu există un prag sub care o versiune mai veche să redevină sigură.
  • 7.9.3 sau mai nouă: deja remediată. Și 7.9.4, versiunea curentă, include remedierea.

Cum se actualizează

Pluginul este gratuit, în continuare publicat și întreținut activ, deci remedierea este o actualizare obișnuită. Cea mai sigură cale este să actualizați chiar din WordPress și să faceți întâi o copie de siguranță:

  1. Faceți o copie de siguranță a site-ului (fișiere și bază de date) înainte de a face modificări. Majoritatea furnizorilor de găzduire oferă copii de siguranță cu un clic, sau puteți folosi un plugin WordPress de backup.
  2. În zona de administrare WordPress, mergeți la Panou, apoi Actualizări, sau la Pluginuri, apoi Pluginuri instalate. Dacă este listată o actualizare pentru Link Library, instalați-o de aici.
  3. Dacă preferați linia de comandă, WP-CLI face același lucru: wp plugin update link-library.
  4. Dacă nu apare nicio actualizare, puteți obține ultima versiune direct de pe pagina pluginului din directorul WordPress.org, Link Library, și puteți actualiza prin Pluginuri, apoi Adaugă plugin nou, apoi Încarcă plugin.
  5. După actualizare, confirmați noul număr de versiune (7.9.3 sau mai nouă) folosind pașii de mai sus și verificați că directoarele dumneavoastră de linkuri se afișează în continuare și se comportă normal.

Cât timp sunteți acolo, merită să confirmați că nucleul WordPress și celelalte pluginuri ale dumneavoastră sunt la zi, întrucât același principiu se aplică tuturor.

După actualizare

Actualizarea la 7.9.3 sau mai nouă închide problema: verificarea trimiterilor rulează acum ca instrucțiune pregătită, așa că valorile primite sunt tratate ca date, nu ca parte a interogării.

Ce nu poate face actualizarea, spus cu grijă. Actualizarea oprește citirea a orice din baza de date pe viitor. Nu poate „ne-citi” ceea ce ar fi putut fi deja citit cât timp site-ul se afla pe o versiune afectată. Nu am nicio vizibilitate asupra faptului dacă acest lucru s-a întâmplat pe site-ul dumneavoastră și nici nu am căutat; cele mai multe site-uri din intervalul afectat probabil nu au fost niciodată atinse. Dar, pentru că nu vă pot spune asta cu certitudine, o măsură de precauție este rezonabilă, pe măsura a ceea ce conține baza dumneavoastră de date:

  • Dacă site-ul dumneavoastră este un site obișnuit de publicare, unde baza de date conține articolele, paginile și câteva conturi de utilizator, pasul rezonabil este să le cereți utilizatorilor (și mai ales administratorilor) să își schimbe parolele. WordPress stochează parolele ca amprente criptografice, nu în text simplu, dar amprentele parolelor slabe pot fi sparte în afara sistemului, așa că o parolă nouă înlătură această grijă.
  • Dacă site-ul dumneavoastră stochează ceva mai sensibil (date despre membri, date despre clienți, chei API sau alte acreditări păstrate de pluginuri), considerați că și acestea merită schimbate.
  • Regenerarea cheilor secrete și a „salts”-urilor WordPress din wp-config.php (valorile noi sunt la un clic distanță în generatorul oficial de chei) deconectează o dată toți utilizatorii și invalidează orice jetoane de sesiune furate.

Ca să fie limpede cum trebuie înțeles totul: aceasta este o măsură de precauție, nu o declarație că datele dumneavoastră au fost sustrase. Notificarea se bazează pe un număr de versiune, nu pe vreo dovadă a unui atac.

Ce am făcut și ce nu am făcut

Pentru deplină transparență privind verificarea din spatele e-mailului meu: am citit doar fișiere publice pe care site-ul dumneavoastră le servește oricum fiecărui vizitator, mai exact fișierul public readme.txt al pluginului și pagina dumneavoastră de start. Nu am accesat zona de administrare WordPress, baza de date sau vreo parte privată a site-ului.

În mod special, nu am trimis niciodată nimic către funcția de trimitere a linkurilor din plugin, nici pe site-ul dumneavoastră, nici altundeva. Nu a fost trimis, stocat, testat sau exploatat nimic. Asta contează aici mai mult decât pe majoritatea acestor pagini, pentru că gestionarea trimiterilor este exact lucrul de care ține această problemă, așa că „nu m-am atins de ea” este toată diferența dintre o dezvăluire și o intruziune.

De asemenea, nu public în mod deliberat detaliile care l-ar ajuta pe cineva să acționeze pe baza acestei probleme. Descrierea de mai sus se oprește la nivelul de care are nevoie un proprietar de site, iar eu nu trimit către niciun cod demonstrativ.

Aceasta este o observație bazată pe versiune: site-ul dumneavoastră raportează o versiune mai veche decât 7.9.3. Un site din acest interval poate fi deja protejat prin alte mijloace, cum ar fi un firewall de aplicații web sau o remediere aplicată retroactiv. Această notificare nu este o afirmație că site-ul dumneavoastră era exploatabil în momentul în care l-am verificat.

Nu am webmaster / m-am blocat

Dacă nu dumneavoastră întrețineți site-ul, vă rog să transmiteți această pagină persoanei care o face (dezvoltatorul, agenția sau furnizorul de găzduire). Va recunoaște imediat pașii de mai sus.

Dacă întrețineți singur site-ul și vă blocați, vă îndrum cu plăcere, gratuit. Scrieți-mi folosind datele de contact de mai jos.

Contact

Evan Harris, cercetător în securitate

Iau legătura pe astfel de subiecte exclusiv pentru a ajuta operatorii să își securizeze site-urile. Dacă preferați să nu mai fiți contactat, spuneți-mi și voi respecta acest lucru.

Referințe

Anunțuri oficiale și urmărire

Producător / plugin