الرئيسية / أخبار تقنية / ‫ثغرة أمنية في مكونات وورد بريس تسمح للمهاجمين باختراق المواقع عن بعد

‫ثغرة أمنية في مكونات وورد بريس تسمح للمهاجمين باختراق المواقع عن بعد

‫يمكن اختراق موقعك الإلكتروني بسهولة إذا كنت تستخدم “Ultimate Addons for Beaver Builder” أو “Ultimate Addons for Elementor” ولم تقم بتحديثها مؤخرًا إلى أحدث الإصدارات المتاحة.‬

اكتشف الباحثون في مجال الأمن وجود مصادقة حرجة ولكن من السهل استغلالها لتجاوز الثغرة الأمنية في كل من مكونات وورد بريس الممتازة المستخدمة على نطاق واسع والتي قد تسمح للمهاجمين عن بعد بالوصول الإداري إلى المواقع دون الحاجة إلى أي كلمة مرور.‬

و‫الأمر الأكثر إثارة للقلق هو أن المهاجمين الانتهازيين قد بدأوا بالفعل في استغلال هذه الثغرة الأمنية في غضون يومين من اكتشافه من أجل اختراق مواقع وورد بريس الضعيفة وتثبيت مستتر ضار للوصول إليها لاحقًا.‬

يعمل كل من المكونات الإضافية الضعيفة التي تصنعها شركة تطوير البرمجيات Brainstorm Force حاليًا على تشغيل مئات الآلاف من مواقع وورد بريس باستخدام أطر عمل Elementor و Beaver Builder مما يساعد مدراء مواقع الويب ومصمميها على توسيع وظائف مواقعهم على الويب باستخدام المزيد من الأدوات المصغرة والوحدات النمطية وقوالب الصفحات.‬

ويكتشف الباحثون في خدمة أمان الويب MalCare تكمن مشكلة عدم الحصانة في الطريقة التي تسمح بها كل من الإضافات لأصحاب حسابات وورد بريس بما في ذلك المسؤولون بالمصادقة عبر آليات تسجيل الدخول إلى فيسبوك و جوجل.‬

ووفقًا لاستشارة مشكلة عدم الحصانة نظرًا لعدم وجود عمليات تحقق في طريقة المصادقة عند تسجيل دخول المستخدم عبر فيسبوك أو جوجل يمكن خداع المكونات الإضافية الحساسة للسماح للمستخدمين الضارين بتسجيل الدخول كأي مستخدم آخر مستهدف دون الحاجة إلى أي كلمة مرور.‬

“ومع ذلك فإن أساليب مصادقة Facebook و Google لم تتحقق من الرمز المميز الذي تم إرجاعه بواسطة Facebook و Google حيث أنها لا تتطلب كلمة مرور لم يكن هناك فحص لكلمة المرور” أوضح باحثو WebARX الذين قاموا بتحليل الخلل وأكدوا فعاليته.‬

وقال MalCare “لاستغلال مشكلة عدم الحصانة يحتاج المتسلل إلى استخدام معرف البريد الإلكتروني لمستخدم مسؤول للموقع في معظم الحالات يمكن استرداد هذه المعلومات بسهولة إلى حد ما”.‬

وفي رسالة بالبريد الإلكتروني إلى The Hacker News أكد WebARX أن المهاجمين يسيئون استخدام هذا الخلل لتثبيت مكوّن إضافي مزيف لإحصائيات SEO بعد تحميل ملف ⁦‪tmp.zip‬⁩ على خادم وورد بريس المستهدف والذي يسقط في النهاية ملف wp-xmlrpc.php backdoor إلى الجذر دليل الموقع الضعيف.‬

أخيرًا تؤثر على الإصدارات المدرجة أدناه من الإضافات وأبلغت للمطورين في نفس اليوم الذي سرعان ما عالج المشكلة وأصدر إصدارات مصححة من الاثنين في غضون 7 ساعات فقط.‬

• الإضافات النهائية للعنصر <= 1.20.0‬
• ‫الإضافات النهائية لـ Beaver Builder <= 1.24.0‬

تم تصحيح مشكلة عدم حصانة تجاوز المصادقة بإصدار “Ultimate Addons for Elementor version 1.20.1” و “Ultimate Addons for Beaver Builder الإصدار 1.24.1” والذي ينصح بشدة بتثبيت مواقع الويب المتأثرة بشدة في أقرب وقت ممكن.‬

عن فدوى

شاهد أيضاً

تطبيق واتس أب لديه الآن أكثر من 5 مليارات تحميل على أجهزة أندرويد

‫قام أكثر من خمسة مليارات مستخدم أندرويد بتنزيل تطبيق المراسلة الأكثر شعبية واتس أب المملوك …

اترك تعليقاً

لن يتم نشر عنوان بريدك الإلكتروني. الحقول الإلزامية مشار إليها بـ *