به خطر افتادن 200 هزار وب سایت به دلیل وجود باگی در افزونه وردپرس

افزونه محبوب قالب وردپرس “ThemeGrill Demo Importer” با 200 هزار نصب فعال، حاوی یک آسیب ­پذیری نرم ­افزاری شدید و با قدرت سوءاستفاده بالا است که می ­تواند موجب به خطر افتادن وب­ سایت ­ها و وبلاگ­ هایی شود که از این افزونه استفاده می­ کنند.

 

صورت مسأله

افزونه ThemeGrill Demo Importer شامل قالب­ های رایگانی است که توسط شرکت توسعه نرم­ افزار ThemeGrill خریداری شده است. این افزونه به مدیران وب سایت­ های وردپرسی اجازه وارد کردن دموی محتوا، ابزارک ­ها و تنظیمات از ThemeGrill را داده و سفارشی ­سازی سریع موضوع را برای آن ها راحت ­تر می­ کند.

طبق گزارشی که شرکت امنیتی WebARX با وب سایت The Hacker News به اشتراک گذاشته است، زمانی که یک قالب ThemeGrill نصب و فعال می­ شود؛ افزونه آسیب دیده، برخی از کارکردهای خود که مربوط به مدیریت افزونه است را بدون بررسی معتبر و مدیر بودن کاربری که مشغول اجرای کد است، اجرا می­ کند.

این نقص در نهایت می­ تواند به مهاجمان غیرمجاز از راه دور اجازه دهد که کل پایگاه داده وب سایت­ های هدف را پاک کرده و به حالت پیش­فرض خود بازگردانند. برای اجرای کد، هیچ سازوکار تأیید هویتی وجود ندارد و فقط نیاز است که پارامتر do_reset_wordpress در نشانی الکترونیکی هر صفحه ادمین وردپرس (شامل /wp-admin/admin-ajax.php)، نشان داده شود.

 

نسخه­ های آسیب پذیر

بر اساس پژوهش ­های WebARX، این آسیب پذیری بر روی افزونه ThemeGrill Demo Importer (نسخه ­های 1.3.4 تا 1.6.1) که در سه سال گذشته منتشر شده، تأثیرگذار است. پژوهشگران WebARX می­ گویند:

«این یک آسیب پذیری جدی است و می ­تواند موجب خسارت قابل توجهی شود. از آنجا که بسته داده ­ای که توسط این بدافزار حمل می ­شود مشکوک به نظر نمی ­رسد پس نباید انتظار داشت که فایروال­ ها به صورت پیش­فرض آن را متوقف کنند. برای جلوگیری از این آسیب پذیری باید یک قانون ویژه ایجاد کرد».

 

برطرف کردن آسیب پذیری

WebARX که این آسیب پذیری را شناسایی کرده، یک وصله امنیتی را نیز برای محافظت از وب سایت ­ها در برابر سوءاستفاده از آن ارایه کرده است.

داشبورد وردپرس هنگام نیاز به ب­روزرسانی این افزونه، به صورت خودکار به مدیران وب سایت ­ها اطلاع می ­دهد. با این وجود مدیران وب سایت ­ها می توانند تنظیماتی را انتخاب کنند که در آن به جای تنظیمات دستی، ب­روزرسانی ­ها به صورت خودکار انجام شوند.

منبع: thehackernews

خروج از نسخه موبایل