WordPress: уязвимость плагина Divi Form Builder угрожает сайтам на VPS

Что случилось

В плагине Divi Form Builder для WordPress обнаружена критическая уязвимость, позволяющая неаутентифицированным злоумышленникам загружать и выполнять произвольный код на сервере. Проблема затрагивает все версии плагина до 5.1.8 включительно.

Уязвимость находится в функции do_image_upload(), где недостаточная валидация расширений файлов позволяет обойти защиту. Атакующий может подменить проверку через параметр acceptFileTypes и загрузить файлы с расширениями .phtml, .phar, .php5 или .php7. Встроенная защита через .htaccess блокирует только .php, что делает обход тривиальным.

Ключевой нюанс для владельцев VPS: на серверах под управлением Nginx директивы .htaccess полностью игнорируются. Это означает, что даже если плагин пытается защитить директорию загрузок, на Nginx такая защита отсутствует. Загруженный вредоносный файл остаётся доступным по прямому HTTP-запросу из директории /wp-content/uploads/de_fb_uploads/.

Кого касается

• Владельцы VPS и выделенных серверов с Nginx, где развёрнут WordPress с плагином Divi Form Builder версии 5.1.8 и ниже
• Серверы с Apache тоже под угрозой, но там защита .htaccess хотя бы частично работает
• Любые публичные страницы с формами Divi — через них можно получить nonce для эксплуатации

Что делать

Немедленно обновите плагин до последней доступной версии. Частичный патч выпущен в версии 5.1.3, поэтому убедитесь, что установлена версия выше 5.1.8.

Проверьте версию плагина:

• В админ-панели WordPress: раздел «Плагины» → найдите Divi Form Builder
• Через командную строку на сервере: найдите файл плагина и проверьте версию в заголовке

Обходной путь, если обновление невозможно:

• Заблокируйте выполнение PHP в директории загрузок через конфигурацию Nginx — добавьте в server-блок: location /wp-content/uploads/de_fb_uploads/ { location ~ \.php { deny all; } }
• Или полностью запретите доступ к этой директории: location /wp-content/uploads/de_fb_uploads/ { deny all; }
• Проверьте директорию загрузок на наличие подозрительных файлов: find /путь/к/сайту/wp-content/uploads/de_fb_uploads/ -name '*.php*' -o -name '*.phtml' -o -name '*.phar'

Проверьте журналы доступа на наличие POST-запросов к do_image_upload с последующими GET-запросами к загруженным файлам.