دو آسیب پذیری در پلاگین وردپرس در فیس بوک وصله شده است. این سوits استفاده ها می تواند به یک مهاجم مخرب اجازه نصب درهای پشتی ، ایجاد حساب های سطح سرپرست و تصاحب کامل سایت را بدهد.
فیس بوک برای وردپرس بهره برداری
افزونه Facebook for WordPress که در بیش از 500000 وب سایت نصب شده است ، یک افزونه ردیابی بازدید کننده سایت برای تبلیغاتی است که از تبلیغات Facebook استفاده می کند. به تبلیغ کنندگان اجازه می دهد سفر بازدیدکنندگان را ردیابی کرده و تبلیغات تبلیغاتی خود را بهینه کنند.
یکی از سوits استفاده ها در دسامبر سال 2020 کشف شد. نقص دیگر در ژانویه 2021 به عنوان بخشی از تغییر نام تجاری و به روزرسانی کد افزونه معرفی شد.
تبلیغات
ادامه مطلب را در زیر بخوانید
آسیب پذیری تزریق اشیا PH PHP
این نوع سوit استفاده به نقصی بستگی دارد که آپلودها را به میزان ناکافی پاک می کند و به نوبه خود به مهاجم اجازه می دهد حملات مختلفی مانند تزریق کد را انجام دهد.
در این حمله خاص ، یک هکر می تواند از پلاگین به خطر افتاده برای بارگذاری پرونده و اجرای یک کد از راه دور استفاده کند.
مشخصات این آسیب پذیری همچنین می تواند به مهاجم اجازه دهد تا از سایر افزونه های حاوی این آسیب پذیری استفاده کند.
طبق Wordfence:
“این بدان معنی بود که یک مهاجم می تواند یک فایل PHP new.php در فهرست اصلی سایت آسیب پذیر ایجاد کند … محتوای فایل PHP می تواند به هر چیزی تغییر یابد … که به مهاجم امکان می دهد از راه دور کد را تحقق بخشد.
توجه داشته باشید که وجود یک زنجیره کامل POP همچنین به این معنی است که هر افزونه دیگری با آسیب پذیری تزریق جسم ، از جمله مواردی که نیازی به اطلاع از نمک ها و کلیدهای سایت ندارند ، می تواند به طور بالقوه برای دستیابی به اجرای کد از راه دور و در صورت نصب استفاده شود. در سایتی با پلاگین Facebook for WordPress. “
تبلیغات
ادامه مطلب را در زیر بخوانید
جعل درخواست متقابل سایت
بهره برداری از جعل درخواست cross site نوعی است که برای انجام عملیاتی (مانند کلیک بر روی پیوند) به یک قربانی با گواهینامه سطح مدیر به یک سایت وردپرس نیاز دارد که در نتیجه منجر به حمله ای می شود که از اعتبارات سطح بالای مدیران استفاده می کند.
یک مهاجم می تواند به داده های متریک خصوصی دسترسی پیدا کند یا تصاحب کامل سایت را انجام دهد.
Wordfence آن را اینگونه توصیف می کند:
“این اقدام توسط مهاجم می تواند برای به روزرسانی تنظیمات افزونه برای اشاره به کنسول Facebook Pixel خود و سرقت اطلاعات متریک برای یک سایت مورد استفاده قرار گیرد.
از این بدتر ، از آنجا که هیچ نظافتی روی تنظیمات ذخیره شده وجود نداشت ، یک مهاجم می تواند JavaScript مخرب را به مقادیر تنظیمات تزریق کند.
سپس این مقادیر در صفحه تنظیمات منعکس می شوند و باعث می شوند که کد هنگام دسترسی به صفحه تنظیمات در مرورگر مدیر سایت اجرا شود.
در نهایت ، این کد می تواند برای تزریق درهای پشتی مخرب به پرونده های تم یا ایجاد حساب های کاربری جدید مدیریتی استفاده شود که می تواند برای تصاحب کامل سایت استفاده شود. “
به روز رسانی توصیه می شود
توصیه می شود که همه کاربران بلافاصله پلاگین خود را به آخرین نسخه (نسخه 3.0.5 فعلی) به روز کنند. فیس بوک برای وردپرس نسخه 3.0.4 کاملاً وصله شده است اما نسخه 3.0.5 به روزترین نسخه افزونه است.
استناد
دو آسیب پذیری وصله شده در فیس بوک برای پلاگین وردپرس
Facebook for WordPress Changelog