منو سایت

افزونه وردپرس عضو نهایی، راه مخفی هکر

 تاریخ انتشار :
/
  وبلاگ
افزونه وردپرس عضو نهایی، راه مخفی هکر

حدود 200000 وب سایت وردپرسی به دلیل نقص امنیتی در افزونه Ultimate Member در معرض خطر حمله هکرها قرار دارند. این آسیب‌پذیری که با نام CVE-2023-3460 (نمره CVSS 9.8) شناخته می‌شود، تمامی نسخه‌های افزونه Ultimate Member، از جمله آخرین نسخه (2.6.6) منتشر شده در 29 ژوئن 2023 را تحت تأثیر قرار می‌دهد.

افزونه Ultimate Member یک افزونه محبوب است که ایجاد پروفایل های کاربری و انجمن ها در سایت های وردپرس را آسان می کند. همچنین امکانات مدیریت حساب را فراهم می کند.

شرکت امنیتی WPScan نسبت به این نقص امنیتی هشدار داد و در بیانیه‌ای اعلام کرد: «این یک موضوع بسیار جدی است. هکرهای ناشناس می توانند از این آسیب پذیری برای ایجاد حساب های کاربری جدید با امتیازات مدیریتی و کنترل کامل وب سایت های آسیب دیده سوء استفاده کنند.

اگرچه جزئیات این نقض به دلیل سوء استفاده هکرها مورد بحث قرار نگرفته است، اما واضح است که به دلیل نقص قوانین لیست سیاه برای تغییر سطح دسترسی کاربر جدید به مدیریت سایت ایجاد شده است. موضوعی که به هکرها اجازه می دهد تا سایت را به طور کامل تصرف کنند.

کلویی چمبرلند، محقق Wordfence، می‌گوید: «در حالی که افزونه Ultimate Member فهرستی از کلیدهای ممنوعه دارد که کاربران نباید قادر به به‌روزرسانی آن‌ها باشند، اما راه‌های آسانی برای دور زدن فیلترهای موجود وجود دارد. مانند استفاده از حروف بزرگ و کوچک، خطوط چین دار و رمزگذاری کاراکتر در مقدار متا کلید در نسخه های آسیب پذیر این افزونه.

این مشکل پس از گزارش‌هایی مبنی بر اضافه شدن حساب‌های مدیریت مخرب به سایت‌های آسیب‌دیده آشکار شد و کارکنان پشتیبانی افزونه‌ها مجبور به راه‌اندازی اصلاحات در نسخه‌های 2.6.4، 2.6.5 و 2.6.6 شدند. انتظار می رود در روزهای آینده آپدیت جدیدی منتشر شود. Ultimate Member در یادداشت های خود می گوید: «از طریق فرم های UM، هکرها توانستند سطح دسترسی کاربران وردپرس را از یک کاربر عادی به یک مدیر وب سایت تغییر دهند.

علاوه بر این، WPScan اشاره کرد که چندین راه برای دور زدن حصارهای امنیتی افزونه وجود دارد. این بدان معناست که مشکل همچنان پابرجاست. در حملات مشاهده شده، از این آسیب پذیری برای ثبت حساب های جدید با نام های apadmins، se_brutal، segs_brutal، wpadmins، wpengine_backup و wpenginer برای آپلود افزونه ها و تم های مخرب از طریق پنل مدیریت سایت استفاده می شود.

به کاربران Ultimate Member توصیه می شود که افزونه Ultimate Member را تا زمانی که به یک وصله مناسب که به طور کامل حفره امنیتی را برطرف می کند دسترسی نداشته باشند غیرفعال کنند. همچنین توصیه می شود همه کاربران پنل مدیریت وب سایت خود را بررسی کنند تا ببینند آیا اکانت های غیرمجاز اضافه شده است یا خیر.

نسخه 2.6.7 Ultimate Member منتشر شد!

نویسندگان Ultimate Member نسخه 2.6.7 این افزونه را در اول جولای منتشر کردند تا آسیب پذیری را برطرف کنند که راه را برای حمله هکرها باز می کند. به عنوان یکی دیگر از اقدامات امنیتی، آنها همچنین قصد دارند ویژگی جدیدی را در این افزونه قرار دهند تا مدیران وب سایت بتوانند برای همه کاربران رمز عبور تعیین کنند.

مدیران وردپرس در یک جلسه خصوصی گفتند: “در نسخه 2.6.7، یک استراتژی لیست سفید برای حفظ امنیت کلیدهای متا که در هنگام ارسال فرم ذخیره می کنیم، معرفی شد.” همچنین در این نسخه داده های مربوط به تنظیمات فرم و ارسال از یکدیگر جدا شده و در دو متغیر متفاوت پیاده سازی شده است.