CVE-2020-11738
WordPress Snap Creek Duplicator Plugin
2021-11-03
WordPress Snap Creek Duplicator plugin contains a file download vulnerability when an administrator creates a new copy of their site that allows an attacker to download the generated files from their Wordpress dashboard. This vulnerability affects Duplicator and Dulplicator Pro.
Технический анализ и план устранения
Суть уязвимости
Атакующий, имеющий доступ к учетной записи администратора WordPress, может скачать сгенерированные файлы резервной копии (пакеты) через панель управления плагина Duplicator. Это позволяет получить полную копию сайта, включая базу данных и файлы, что ведет к утечке конфиденциальной информации.
Как исправить
Обновите плагин Duplicator / Duplicator Pro до исправленной версии: * Duplicator (Free): до версии 1.3.28 или выше. * Duplicator Pro: до версии 3.8.7.1 или выше.
Способ обновления (через админ-панель WordPress): 1. Войдите в панель управления WordPress как администратор. 2. Перейдите в раздел «Плагины» -> «Установленные плагины». 3. Найдите плагин «Duplicator» или «Duplicator Pro». 4. Если доступно обновление, нажмите ссылку «Обновить сейчас».
Способ обновления (вручную через SSH/WinSCP): 1. Скачайте актуальную версию плагина с официального сайта. 2. Отключите старую версию плагина в админ-панели WordPress. 3. Удалите старую директорию плагина через файловый менеджер или командную строку: ```bash # Путь к плагину Duplicator (Free) rm -rf /путь/к/сайту/wp-content/plugins/duplicator/
# Путь к плагину Duplicator Pro
rm -rf /путь/к/сайту/wp-content/plugins/duplicator-pro/
```
- Загрузите и распакуйте новую версию плагина в директорию
/wp-content/plugins/. - Активируйте плагин в панели управления WordPress.
Временное решение
Если немедленное обновление невозможно:
1. Ограничьте доступ к панели управления WordPress:
* Настройте .htaccess (для Apache) или конфиг nginx для ограничения доступа к /wp-admin/ и /wp-login.php по IP-адресу.
* Пример для Apache (.htaccess в корне сайта):
apache
<FilesMatch "^(wp-login\.php|wp-admin)">
Order Deny,Allow
Deny from all
Allow from 192.168.1.100 # Разрешить только ваш IP
Allow from 203.0.113.45 # Дополнительный доверенный IP
</FilesMatch>
2. Временно деактивируйте плагин:
* В панели управления WordPress перейдите в «Плагины», найдите Duplicator и нажмите «Деактивировать». Это полностью устранит уязвимость до момента обновления.
3. Удалите созданные пакеты:
* В файловом менеджере удалите все архивные файлы (.zip, .daf), созданные плагином. Обычно они находятся в /wp-snapshots/ или в папке, указанной в настройках плагина.
bash
# Пример команды для поиска и удаления пакетов в корне сайта
find /путь/к/сайту/ -name "*.zip" -o -name "*.daf" | xargs rm -f