चेतावनी! WordPress प्लगइन भेद्यता लाखों पृष्ठों के लिए खतरा है
यह महीने का वह समय फिर से है, जब एक और वर्डप्रेस प्लगइन भेद्यता पॉप अप होती है, लगभग घड़ी की कल की तरह। इस बार, भेद्यता UpdraftPlus नामक प्लगइन से संबंधित है, जो प्रकाशन प्लेटफॉर्म चलाने वाली लगभग 3 मिलियन वेबसाइटों में स्थापित है।
बैकअप के लिए विशेषाधिकार प्राप्त पहुंच
इस मुद्दे की खोज सुरक्षा शोधकर्ता मार्क मोंटपास ने की थी और बाद में Wordfence द्वारा एक विस्तृत पोस्ट में इसकी जांच की गई - WordPress सुरक्षा में विशेषज्ञता वाली एक टीम। UpdraftPlus में दोष को CVE 2022-0633 हैंडल के तहत संहिताबद्ध किया गया था और इसे 8.5 या उच्च की गंभीरता रेटिंग प्राप्त हुई थी।
भेद्यता किसी भी WordPress वेबसाइट पर किसी भी सक्रिय और सफलतापूर्वक लॉग-इन उपयोगकर्ता की अनुमति देती है जो मौजूदा साइट बैकअप डाउनलोड करने के लिए UpdraftPlus चलाता है - कुछ ऐसा जो केवल उन्नत विशेषाधिकारों के साथ संभव होना चाहिए, जैसे कि प्रशासकों के पास।
संपूर्ण बैकअप डेटा को हथियाने की क्षमता सड़क के नीचे सभी प्रकार के मुद्दों को जन्म दे सकती है, जिसमें क्रेडेंशियल चोरी से लेकर संवेदनशील और विशेषाधिकार प्राप्त जानकारी तक पहुंच शामिल है।
वर्डफेंस ने समझाया कि यदि कोई संभावित खराब अभिनेता साइट पर विशेष रूप से अनुरूप दिल की धड़कन भेजता है, तो उन्हें "बैकअप लॉग जिसमें बैकअप नॉन और टाइमस्टैम्प होता है" तक पहुंच प्राप्त होगी। उन तीनों का एक साथ उपयोग वेबसाइट के बैकअप को थोक में डाउनलोड करने के लिए किया जा सकता है।
लोकप्रिय प्लगइन्स बड़े हमले की सतह प्रदान करते हैं
भेद्यता लगभग उतनी भयानक नहीं है जितनी लगती है, क्योंकि यदि यह क्रिया किसी बाहरी बुरे अभिनेता द्वारा की जाती है, तो हैकर को अभी भी साइट के लिए वर्डप्रेस प्लेटफॉर्म इंस्टेंस तक नियमित पहुंच की आवश्यकता होगी। हालांकि, ऐसा करने के लिए समझौता किए गए लॉगिन क्रेडेंशियल का एक सेट होना पर्याप्त होगा। शोधकर्ताओं का मानना है कि यह इस तथ्य से ऑफसेट है कि UpdraftPlus बहुत लोकप्रिय है और लगभग 3 मिलियन वेबसाइटों पर स्थापित है।
अकेले जनवरी 2022 में WordPress प्लगइन्स में कई उच्च-गंभीर बग की खोज की गई थी , जिसमें 10 की गंभीरता रेटिंग वाला एक भी शामिल है। प्लगइन की खामियों के साथ समस्या यह है कि कई प्रभावित प्लगइन्स को बहुत व्यापक रूप से अपनाया जाता है, जो कि UpdraftPlus के समान है, जो एक की ओर जाता है संभावित खतरे वाले अभिनेताओं के लिए सुलभ बहुत बड़ी संभावित हमले की सतह।