پایگاه داده آسیب‌پذیری ملی دولت ایالات متحده (NVD) اطلاعیه‌ای درباره یک آسیب‌پذیری حیاتی منتشر کرد که بر افزونه Forminator WordPress Form تماس تا نسخه 1.24.6 تأثیر می‌گذارد.
مهاجمان احراز هویت نشده می‌توانند فایل‌های مخرب را در وب‌سایت‌ها آپلود کنند که طبق این هشدار، «ممکن است اجرای کد از راه دور را ممکن کند».
امتیاز آسیب پذیری 9.8 در مقیاس یک تا ده است که ده شدیدترین سطح آسیب پذیری است.
تصویری از Wordfence Advisory
اسکرین شات از Wordfence.comآسیب پذیری در برابر مهاجمان تایید نشده
بسیاری از آسیب‌پذیری‌ها به مهاجم نیاز دارند تا ابتدا به سطح کاربری وردپرس برسد تا بتواند حمله را انجام دهد.
به عنوان مثال، برخی از آسیب‌پذیری‌ها برای افرادی که سطح کاربری مشترک دارند در دسترس است، برخی دیگر برای انجام یک حمله به سطح مشارکت‌کننده یا مدیر نیاز دارند.
چیزی که این آسیب‌پذیری را به ویژه نگران‌کننده می‌کند این است که به مهاجمان احراز هویت نشده، کسانی که اصلا سطح کاربری ندارند، اجازه می‌دهد تا با موفقیت سایت را هک کنند.
دلیل دوم اینکه چرا این آسیب پذیری در مقیاس 1 تا 10 (بحرانی) رتبه بندی 9.8 دارد این است که مهاجم می تواند یک فایل دلخواه را آپلود کند که به معنای هر نوع فایلی است، مانند یک اسکریپت مخرب.
پایگاه داده ملی آسیب پذیری (NVD) این آسیب پذیری را شرح می دهد:
افزونه Forminator برای وردپرس در برابر آپلودهای دلخواه فایل آسیب پذیر است زیرا تأیید نوع فایل پس از آپلود یک فایل در سرور در تابع upload_post_image () در نسخه های تا، و از جمله، 1.24.6 رخ می دهد.
این امکان را برای مهاجمان احراز هویت نشده فراهم می‌کند تا فایل‌های دلخواه را روی سرور سایت آسیب‌دیده آپلود کنند که ممکن است اجرای کد از راه دور را ممکن کند.»
اجرای کد از راه دور
آسیب‌پذیری Remote Code Execution (RCE) نوعی سوء استفاده است که در آن مهاجم می‌تواند کدهای مخرب را در وب‌سایت مورد حمله از راه دور از ماشین دیگری اجرا کند.
آسیب ناشی از این نوع سوء استفاده می تواند به اندازه تصاحب کامل سایت باشد.
فرم های تماس باید قفل شوند
پلاگین های وردپرس که به کاربران ثبت نام شده یا احراز هویت نشده اجازه می دهند هر چیزی را آپلود کنند، حتی متن یا عکس، باید راهی برای محدود کردن مواردی که می توانند آپلود شوند، داشته باشند.
فرم های تماس باید به خصوص قفل شوند زیرا ورودی های عمومی را می پذیرند.
RCE مختص وردپرس نیست
این نوع آسیب‌پذیری‌ها مخصوص وردپرس نیستند، می‌توانند برای هر سیستم مدیریت محتوا رخ دهند.
وردپرس استانداردهای کدنویسی را برای ناشران منتشر می کند تا بدانند چگونه از این نوع موارد جلوگیری کنند.
صفحه توسعه دهنده وردپرس برای امنیت افزونه (Sanitizing Data) نحوه مدیریت صحیح آپلودها از منابع نامعتبر را توضیح می دهد.
صفحه توسعه دهنده توصیه می کند:
«داده‌های غیرقابل اعتماد از منابع بسیاری (کاربران، سایت‌های شخص ثالث، حتی پایگاه داده خودتان!) می‌آیند و همه آن‌ها باید قبل از استفاده بررسی شوند.
ورودی پاکسازی فرآیند ایمن‌سازی/تمیز کردن/فیلتر کردن داده‌های ورودی است.
اعتبار سنجی بر ضدعفونی ترجیح داده می شود زیرا اعتبارسنجی خاص تر است.
اما زمانی که «مشخص تر» امکان پذیر نباشد، پاکسازی بهترین کار بعدی است.»
آیا افزونه فرم تماس با Forminator آسیب پذیری را برطرف کرده است؟
به گفته پایگاه ملی آسیب پذیری و شرکت امنیتی Wordfence WordPress، این مشکل در نسخه 1.25.0 بررسی شده است.
Wordfence به روز رسانی به آخرین نسخه را توصیه می کند:
“به روز رسانی به نسخه 1.25.0 یا یک نسخه وصله شده جدیدتر…”
تغییرات پلاگین Forminator
Changelog یک رکورد از تمام تغییرات ایجاد شده در یک نرم افزار است. به کاربران اجازه می دهد آن را بخوانند و تعیین کنند که آیا می خواهند نرم افزار خود را به روز کنند یا نه.
این یک تمرین خوب است که به کاربران خود اطلاع دهید که یک به روز رسانی نرم افزار حاوی یک اصلاح (به نام وصله) برای آسیب پذیری است.
این به کاربران اجازه می دهد بدانند که یک به روز رسانی خاص فوری است تا بتوانند تصمیمی آگاهانه در مورد به روز رسانی نرم افزار خود بگیرند.
در غیر این صورت، یک کاربر نرم افزار چگونه می تواند بفهمد که یک به روز رسانی فوری است بدون اینکه لاگ تغییرات به او اطلاع دهد، درست است؟
خودتان قضاوت کنید که آیا لاگ تغییر Forminator اطلاع رسانی کافی در مورد یک وصله آسیب پذیری به کاربران خود ارائه می دهد یا خیر:
اسکرین شات از Forminator Changelog
منابع:
توصیه رسمی پایگاه داده ملی آسیب پذیری را بخوانید:
CVE-2023-4596 جزئیات
توصیه Wordfence را در مورد آسیب پذیری افزونه فرم تماس وردپرس Forminator بخوانید
Forminator <= 1.24.6 – آپلود فایل دلخواه تایید نشده
گزارش پایگاه داده Exploit را در مورد آسیب‌پذیری Forminator Contact Form بخوانید
پلاگین وردپرس Forminator 1.24.6 – اجرای فرمان از راه دور بدون احراز هویت
تصویر برجسته توسط Shutterstock/ViDI Studio