en

بهره‌برداری از چندین آسیب‌پذیری روز صفرم - 150.000 وب سایت آسیب‌پذیر

مهاجمان با بهره‌برداری از چندین #‫آسیب‌پذیری روز صفرم در سه افزونه مشهور وردپرسی، وبسایت‌های وردپرسی را هدف قرار دادند. این سه افزونه عبارت است از:
1. Async JavaScript: این افزونه با افزودن خاصیت Async به لینک‌های خارجی جاوا اسکریپت باعث به تاخیر افتادن لود آنها می‌شود و این امر سبب افزایش سرعت سایت وردپرسی خواهد شد.
2. Modern Events Calendar Lite: یک سیستم مدیریت رویداد و رزرواسیون که توانایی ایجاد بی‌نهایت رویداد در روزهای مختلف را دارد. از ویژگی‌های این افزونه می‌توان به طبقه‌بندی رویدادها، سیستم تکرار رویداد، تعیین مکان و سیستم شمارش معکوس رویداد اشاره کرد.
3. 10Web Map Builder for Google Maps: این افزونه امکان افزودن نقشه به سایت وردپرسی را فراهم می‌کند.
مهاجمان سایت‌های وردپرسی را از طریق بهره‌برداری از آسیب‌پذیری‌های متعدد XSS در سه افزونه‌های مذکور و با تزریق کد جاوا اسکریپت هدف قرار دادند. آسیب‌پذیری Cross-site scripting (XSS) به مهاجم اجازه تزریق کد مخرب جاوا اسکریپت را می‌دهد که با بازدید قربانی از وب سایت هدف، اجرا می‌شود. با اجرای کد مخرب، مهاجم با ساخت یک حساب آدمین و به نوعی ایجاد بکدور زمینه را برای حملات آینده فراهم می‌کند.
1 آسیب‌پذیری‌های روز صفرم در افزونه‌ها
اخیراً آسیب‌پذیری روز صفرم مشابه‌ی از نوع XSS در افزونه Flexible Checkout Fields for WooCommerce که به مهاجم اجازه تغییر تنظیمات افزونه را می‌داد، وصله شده است. آسیب‌پذیری XSS دیگری در افزونه Async JavaScript با تزریق یک payload مخرب، کدهای جاوا اسکریپت را زمانی که آدمین از قسمت‌های خاصی از داشبورد بازدید می‌کند، اجرا می‌کند. توسعه دهنده این افزونه که بیش از 100.000 نصب فعال دارد، بعد از گزارش این آسیب‌پذیری توسط Wordfence، وصله امنیتی آن را منتشر کرد.
به گزارش Wordfence سومین مورد آسیب‌پذیری XSS در افزونه 10Web Map Builder for Google Maps که بیش از 20.000 نصب فعال دارد، فرآیند نصب افزونه وجود دارد. توابع مربوط به نصب و راه‌اندازی افزونه در «admin_init» که بدون نیاز به احراز هویت در دسترس کاربران است، فراخوانی می‌شود. درنتیجه اگر مهاجم به مقدار مشخصی در تنظیمات افزونه، کد مخرب جاوا اسکریپت تزریق کند، با بازدید داشبورد توسط آدمین و یا بازدید سایت توسط خود کاربران کد مخرب اجرا می‌شود. به کاربران این افزونه توصیه می‌شود تا در اسرع وقت به به‌روزرسانی به نسخه 1.0.64 اقدام کنند.
آسیب‌پذیری گزارش شده در افزونه Modern Events Calendar Lite که بیش از 40.000 نصب فعال دارد، نیز از نوع XSS است. این افزونه actionهای AJAX متعددی برای کاربران لاگین شده ثبت می‌کند که به کاربران با دسترسی پایین امکان دستکاری داده‌ها و تزریق payloadهای XSS را فراهم می‌کند. این آسیب‌پذیری در در نسخه 5.1.7 برطرف شده است.
2 مراجع
[1] https://gbhackers.com/plugin-zeroday/


The Wall

No comments
You need to sign in to comment