Jedna historka uživatele WordPress

Tohle se mi stalo minulou neděli. Procházím si komentáře k poslednímu přehledu prodaných .cz domén a průběžně koukám, kdo co nabídl v rámci akce vaše .cz domény na prodej. Když tu znenadání na mě vyskočila podivná věc v administraci. Říkám si WTF? Co se mi to zobrazuje za šílenost. Nejdřív to odkliknu. V něčem pokračuji. Pak si dám jednu výchovnou a okamžitě se vracím zpět na nástěnku. Jako tohle není sranda jako snaha Microsoft vnutit mi Windows 10, kterou bezmyšlenkovitě odklikávám. Tohle je bezpečnostní průšvih! Okamžitě začnu prolézat zdrojové kódy a připravuji nahodit na celou doménu zákaz přístupu všech IP adres mimo té mojí. Naštěstí brzo zjišťují, že se jednalo jen o otestování bezpečnosti. Sbírám zdrojový kód a data z databáze. Deaktivuji plugin, kouknu jestli nepřibyl v administraci nový admin a odhlašuji se. Kouknu na wordpress.org jestli k pluginu nevyšla nová aktualizace. Hmm nikde nic ani na diskuzi. 100K aktivních instalací, to už určitě někdo nahlásí a chci to pustit z hlavy. Dám si druhou výchovnou a rychle se proberu. Znám hrozbu, vím přesně o co se jedná a jediná, stačí to jen poslat vývojáři. Ok zajdu na stránku vývojáře (plugin má i placené rozšíření). Koukám po nějakém emailu. Po pár minutách nic. Jen ticket systém. Ach jo přece se s tím nebudu trápit. Třetí výchovná. Ok ok napíšu jim ticket na zákaznickou podporu. Nechci se moc rozepisovat. Prostě napíšu že jsem našel bezpečnostní díru, přiložím výše uvedený screenshot a ať mi pošlou email, kam to poslat. No uvidíme. Hned po odeslání dorazí potvrzení ticketu na email. Hmm už je večer neděle, zítra tu nebudu, tak jim to komplet pošlu na ten email s ID ticketu. Vložím kus problémového zdrojového kódu a dva řádky z databáze, kam se podařilo útočníkovi vložit javascript. S tímto si poradí. Za pár desítek minut se mi někdo ozve a chce po mě verze WP a pluginu. Odesílám. Ok to bude snad vše. Za necelou hodinu mi dojde informace, že nález je pozitivní a svolávají vývojáře s prosbou ať zachovám diskrétnost. Nahodím pozitivní úšklebek. Hmm dobře já! Za půl hodiny přijde další info, že ještě dnes v noci vyjde patch. Jé moje první odhalená vulnerabilita ve WordPress :) Druhý den mě potěšil nejen update ale i menší poděkování :)