تحذير! تهدد ثغرة البرنامج المساعد في WordPress ملايين الصفحات
إنه ذلك الوقت من الشهر مرة أخرى ، عندما تظهر ثغرة أخرى في البرنامج المساعد WordPress ، تقريبًا مثل الساعة. هذه المرة ، تتعلق الثغرة الأمنية بالمكوِّن الإضافي المسمى UpdraftPlus ، والذي تم تثبيته في ما يقرب من 3 ملايين موقع ويب تشغل منصة النشر.
امتياز الوصول إلى النسخ الاحتياطية
تم اكتشاف المشكلة من قبل الباحث الأمني مارك مونباس وتم فحصها لاحقًا في منشور تفصيلي بواسطة Wordfence - فريق متخصص في أمان WordPress. تم تصنيف الخلل في UpdraftPlus تحت المقبض CVE 2022-0633 وحصل على تصنيف شدة 8.5 أو مرتفع.
سمحت الثغرة الأمنية لأي مستخدم نشط قام بتسجيل الدخول بنجاح على أي موقع WordPress يقوم بتشغيل UpdraftPlus لتنزيل النسخ الاحتياطية الحالية للموقع - وهو أمر يجب أن يكون متاحًا فقط بامتيازات مرتفعة ، مثل تلك التي يمتلكها المسؤولون.
يمكن أن تؤدي القدرة على الاستيلاء على بيانات النسخ الاحتياطي بالكامل إلى جميع أنواع المشكلات على الطريق ، بدءًا من سرقة بيانات الاعتماد إلى الوصول إلى المعلومات الحساسة والمميزة.
أوضح Wordfence أنه إذا أرسل أحد الممثلين السيئين المحتملين نبضة قلب مصممة خصيصًا إلى الموقع ، فسيحصلون على حق الوصول إلى "سجل النسخ الاحتياطي الذي يحتوي على نسخة احتياطية وطابع زمني احتياطي". يمكن استخدام كل هؤلاء الثلاثة معًا لتنزيل النسخة الاحتياطية لموقع الويب بكميات كبيرة.
تقدم الإضافات الشعبية سطح هجوم كبير
الثغرة الأمنية ليست مروعة كما تبدو ، لأنه إذا تم تنفيذ هذا الإجراء من قبل جهة خارجية سيئة ، سيظل المخترق بحاجة إلى الوصول المنتظم إلى مثيل منصة WordPress للموقع. ومع ذلك ، سيكون كافيًا أن يكون لديك مجموعة من بيانات اعتماد تسجيل الدخول المخترقة للقيام بذلك. يعتقد الباحثون أن هذا يقابله حقيقة أن UpdraftPlus تحظى بشعبية كبيرة ويتم تثبيتها على حوالي 3 ملايين موقع.
في كانون الثاني (يناير) 2022 وحده ، تم اكتشاف العديد من الأخطاء شديدة الخطورة في مكونات WordPress الإضافية ، بما في ذلك واحدة ذات تصنيف خطورة 10. المشكلة مع عيوب المكونات الإضافية هي أن العديد من المكونات الإضافية المتأثرة تم تبنيها على نطاق واسع ، على غرار UpdraftPlus ، مما يؤدي إلى سطح هجوم محتمل كبير جدًا يمكن الوصول إليه من قبل جهات التهديد المحتملة.