آسیب پذیری جدید WordPress

سعید ناصریسعید ناصریجولای 31, 20201min0

طبق گفته های Simon Scannell از RIPS Technology که صاحب یک پروژه موفق و یک ابزار قدرتمند RIPS است ، یک سری از آسیب پذیری های قدیمی در وردپرس کشف شده است که دارای 6 سال سن است! بله ، درست دیدید ، چشمان شما بسته نمی شود … 6 سال!

این ایرادات شامل دو آسیب پذیری خطرناک یعنی Local File Incociation و Path Traversal است که به هکر اجازه می دهد از راه دور هک شود. من دو خبر برای شما دارم؛ خبر خوب ، خبر بد.

اول از همه ، خبرهای خوب: اولین آسیب پذیری ، شامل پرونده محلی ، در نسخه های 4.9.9 و 5.0.1 رفع شده است. خوشحال هستید؟ خیلی خوشحال نباشید زیرا آسیب پذیری دوم ، Path Traversal ، هنوز اصلاح نشده است و هنوز هم احتمالاً توسط میلیون ها نفر هک شده است. خبر خوب دیگری به تازگی برای من پیش آمده است که می گوید آسیب پذیری دوم فقط در نسخه 5.0.3 رفع شده است. بنابراین عملا هیچ خبر بدی وجود ندارد و اگر همین حالا به نسخه وردپرس 5.0.3 ارتقا دهید ، از هر دو مشکل خلاص می شوید. ؛-)

این آسیب پذیری ها ریشه در ورودی های Post Meta دارند که توسط خود وردپرس یا افزونه ها و مضامین کار شده با پوشه wp-content / upload ها ریشه دارد. به عبارت ساده ، چه در حال بارگذاری و چه در حال ویرایش عکس با خود وردپرس یا با افزونه ها و مضامین خود باشید ، فوراً آسیب پذیر هستید و برای هکر امکان دارد مسیر وردپرس را برای مدیریت عکس های ویرایش شده (Path Traversal) ردیابی کند.

در مرحله بعد ، با آگاهی از مسیرهای ایجاد شده توسط وردپرس برای میزبان شما ، هکر می تواند با تزریق سوء استفاده به توابع php که در هنگام مدیریت عکس ها گفته می شود ، کنترل کامل میزبان را به دست آورد.

توصیه ما به عزیزانی که در حال حاضر از WordPress استفاده می کنند این است که در وهله اول سایت خود را به روز نگه دارید. متأسفانه برخی از برنامه نویسان ، طراحان و وب مسترها به دلایل تجاری سایت را بروزرسانی نمی کنند یا دیر آن را بروزرسانی می کنند تا بتوانند مطمئن باشند که سایت آسیب نبیند. این جمله قطعاً کلیشه است ، اما حقیقت را باید حتی اگر کلیشه ای هم باشد پذیرفته شود: سایتی که مشکل دارد بهتر از یک سایت هک شده است! بنابراین به ما گوش دهید و وردپرس خود را همین حالا به روز کنید! اگر در این مورد با هر مشکلی روبرو هستید با ما تماس بگیرید یا خدای ناکرده به شما حمله می شود.

برگرفته از (blog.ripstech.com ، thehackernews.com)

یک نظر بدهید

ایمیل شما منتشر نخواهد شد. بخش‌های موردنیاز علامت گذاری شده اند *

ده − 9 =