امنیتراستی چخبر؟وردپرس

آسیب پذیری خطرناک از جنس Local File Inclusion و Path Traversal در وردپرس

باگ‌های وردپرس گویا تمومی نداره!

به گزارش Simon Scannell از شرکت RIPS Technology که مالکیت پروژه  RIPS را برعهده دارد، یک سری آسیب پذیری قدیمی در وردپرس کشف شده که از ۶ سال پیش وجود داشته! بله ۶ سال، باورش سخته ولی درسته!

این باگ ها شامل دو آسیب پذیری خطرناک از جنس Local File Inclusion و Path Traversal می باشد که به هکر اجازه هک از راه دور می داد.

دو تا خبر دارم براتون؛ یه خبر خوب یه خبر بد. اول کدومو بگم؟

اول خبر خوبو میگم: آسیب پذیری اول یعنی Local File Inclusion در نسخه های ۴٫۹٫۹ و ۵٫۰٫۱ رفع شده.

خوشحال شدین؟ زیاد خوشحال نباشین چون آسیب پذیری دوم یعنی Path Traversal هنوز وصله نشده و هنوز احتمال هک شدن برای میلیون ها نفر وجود داره.

یه خبر خوب دیگه هم همین الان برام اومده که میگه آسیب پذیری دوم فقط تو نسخه ۵٫۰٫۳ رفع شده.

پس عملا خبر بدی وجود نداره و اگه همین الان به نسخه ۵٫۰٫۳ وردپرس بروز رسانی کنید از شر هر دو مشکل رها خواهید شد.

ریشه این آسیب پذیری ها در ورودی های Post Meta ای هست که توسط خود وردپرس بکار گرفته می شود یا پلاگین ها و تم هایی که با پوشه wp-content/uploads کار می کنند.

به بیان ساده چه وقتی که با خود وردپرس چه وقتی با پلاگین ها و تم های خود در حال آپلود یا ویرایش عکس هستید همون لحظه آسیب پذیرید و امکان رهگیری مسیر عبوری وردپرس برای مدیریت عکس های ویرایش شده (Path Traversal) توسط هکر وجود دارد.

باگ وردپرس

 

در مرحله بعد با کسب اطلاع از مسیرهایی که بوسیله وردپرس برای هاست شما ایجاد شده، هکر می تواند با تزریق اکسپلویت در توابع php که حین مدیریت عکسها فراخوانی می شوند کنترل کامل هاست را در دست بگیرد.

 

توصیه ما به عزیزانی که در حال حاضر از وردپرس استفاده می کنند این است که در وهله اول سایت خود را بروز نگه دارید. متاسفانه بعضی برنامه نویسان، طراحان و مدیران سایت به دلایل تجاری سایت رو آپدیت نمی کنند یا دیر اقدام به بروز رسانی می کنند تا به زعم خودشون خیالشون از خراب نشدن سایت راحت باشه.

این جمله قطعا یک کلیشه هست اما حقیقت رو باید قبول کرد حتی اگر کلیشه باشه: یک سایت دارای ایراد بهتر از یک سایت هک شدس! پس حرف ما رو گوش کنید و همین حالا برای بروز رسانی وردپرس اقدام کنید!

برچسب ها

مازیار احمدی

مازیارم. مازیار یه وبمستر هست که جوانیشو تو اینترنت گذاشته. عاشق وردپرسه و یه استارتاپ داره که مثل بچش دوسش داره و دوستدار محتوا هست. مازیار موقع کار خیلی جدیه ولی آدم خوش قلبیه و از ته دل میخنده. مازیار عاشق یاد دادن و اشتراک گذاری تجربیاتش هست.

نوشته های مشابه

ممنون می‌شم، درباره‌ ی این مطلب نظر بدین، منتظر شنیدنِ دیدگاه و تجربه شما هستیم.

پاسخی بگذارید

نشانی ایمیل شما منتشر نخواهد شد. بخش‌های موردنیاز علامت‌گذاری شده‌اند *

بستن
بستن