700 هزار وبسایت درمعرض تهدید سایبری قرار گرفتند - بلاگ پو

به گزارش خبرگزاری اقتصادی ایران، وردپرس نرم افزاری تحت وب است که می توان از آن برای ساختن وب سایت و سرویس وبلاگ استفاده کرد.

بررسی گروه های امنیتی نشان می دهد که افزونه ای از WordPress به لیست افزونه هایی که دارای نقص های امنیتی تهدیدآمیز هستند، پیوسته است. این بار، این آسیب پذیری در افزونه GDPR Cookie Consent ظاهر شده است و یکپارچگی 700 هزار وب سایت را به خطر انداخته است.

طبق گزارشات، محققی به نام Jerome Bruandet، یک آسیب پذیری جدی در افزونه GDPR Cookie Consent کشف کرده است. GDPR Cookie Consent به کاربران در ساخت سایت مطابق با GDPR کمک می کند. با در نظر دریافت 700 هزار نصب از این افزونه، این نقص می تواند هزاران وب سایت را در معرض خطر قرار دهد.

این آسیب پذیری، یک نقص بحرانی تزریق اسکریپت مخرب در افزونه GDPR Cookie Consent است که ناشی از کنترل نامناسب دسترسی در نقطه پایانی (endpoint) استفاده شده در افزونه AJAX API (یک روش توسعه وب برای ساخت برنامه های کاربردی تحت وب) وردپرس است.

نقطه پایانی، یک روش -construct درون افزونه است که برای کد مقداردهی اولیه اشیایی که به تازگی ایجاد شده اند، مورد استفاده قرار می گیرد. پس از آنکه فعالیت ها ایجاد شدند، از طریق AJAX به روش -construct ارسال می شود. این فرایند در پیاده سازی بررسی ها شکست می خورد.

به همین دلیل، نقطه پایانی AJAX به گونه ای در نظر گرفته شده است که تنها برای مدیران قابل دسترسی باشد، به کاربران سطح مشترک (یک نقش کاربر در وردپرس با قابلیت های بسیار محدود) نیز اجازه دهد تعدادی فعالیت که امنیت سایت را به مخاطره می اندازد، انجام دهند.

این نقص از نظر شدت، بحرانی رتبه بندی شده و دارای امتیاز CVSS 9.0 از 10 است.

یم تحقیقاتی WordFence نیز وجود این نقص را پس از آنکه تیم توسعه این افزونه، آن را برطرف ساخت، تأیید کرده است.

Bruandet در تاریخ 28 ژانویه سال 2020، توسعه دهندگان این افزونه را از وجود آسیب پذیری در آن مطلع ساخت.

نسخه های 1.8.2 و پیش از آن افزونه GDPR Cookie Consent، تحت تأثیر این آسیب پذیری قرار گرفته اند.

توسعه دهندگان این افزونه، با انتشار نسخه 1.8.3، یک هفته پس از افشای این نقص، آن را وصله کرده اند. کاربران باید با به روزرسانی این افزونه به آخرین نسخه، مانع از سوءاستفاده های بالقوه شوند.