Пропуст за читање фајлови во Smart Slider плагин погодува 500.000 WordPress сајтови

Ранливост во WordPress плагинoт Smart Slider 3, кој е активен на повеќе од 800.000 веб-страници, може да се злоупотреби за да им овозможи на корисници со ниво „subscriber“ пристап до произволни фајлови на серверот.

Автентициран напаѓач може да ја искористи оваа ранливост за да пристапи до чувствителни фајлови, како што е wp-config.php, кој содржи креденцијали за базата на податоци, клучеви и „salt“ вредности, што создава ризик од кражба на податоци и целосно преземање на веб-страницата.

Smart Slider 3 е еден од најпопуларните WordPress плагини за креирање и управување со слајдери со слики и карусели со содржина. Нуди едноставен drag-and-drop едитор и богат избор на шаблони.

Безбедносниот пропуст, означен како CVE-2026-3098, е откриен и пријавен од истражувачот Дмитриј Игнатјев и ги засега сите верзии на плагинoт до 3.5.1.33.

Ранливоста доби средна оценка за сериозност бидејќи бара автентикација. Сепак, тоа значи дека ризикот е присутен кај сајтови кои имаат регистрација или претплатнички систем — нешто што денес е многу често.

Проблемот произлегува од недостаток на проверки на привилегии (capability checks) во AJAX export функциите на плагинoт, што им дозволува на сите најавени корисници, вклучувајќи и subscribers, да ги повикуваат.

Според истражувачите од компанијата Defiant (креатор на Wordfence), функцијата „actionExportAll“ нема проверка на типот и изворот на фајловите, што овозможува читање на произволни фајлови од серверот и нивно додавање во export архивата.

Присуството на nonce не спречува злоупотреба, бидејќи може да биде добиен од најавени корисници.

„За жал, оваа функција не вклучува проверки за тип или извор на фајловите во ранливата верзија. Тоа значи дека не само слики или видеа, туку и .php фајлови можат да се извезат,“ изјави Иштван Мартон од Defiant.

„Ова на крај овозможува напаѓачи со минимален пристап, како subscribers, да читаат било кој фајл на серверот, вклучувајќи го wp-config.php, кој содржи креденцијали за базата и криптографски клучеви.“

500.000 веб-страници сè уште ранливи

На 23 февруари, Игнатјев ги пријавил своите наоди до Wordfence, чии истражувачи го потврдиле доставениот proof-of-concept експлоит и го известиле Nextendweb, развивачот на Smart Slider 3.

Nextendweb го потврдил извештајот на 2 март, а на 24 март објавил закрпа со новата верзија Smart Slider 3 (3.5.1.34).

Според статистиката на WordPress.org, плагинoт бил преземен 303.428 пати во текот на изминатата недела. Ова значи дека најмалку 500.000 WordPress сајтови сè уште користат ранлива верзија од Smart Slider 3 и се изложени на напади.

CVE-2026-3098 засега не е означен како активно злоупотребуван, но ситуацијата може брзо да се промени, па затоа се препорачува сопствениците и администраторите на веб-страници веднаш да преземат мерки.

Извори:

• Bleeping Computer – File read flaw in Smart Slider plugin impacts 500K WordPress sites Bleeping Computer