معمولا کمپانی های بزرگ و کوچک تکنولوژی جهان به صورت پیوسته در حال عیب یابی و بروزرسانی سرویس ها و محصولات خود هستند. در حوزه امنیت، این کار به معنی یافتن حفره های امنیتی و تلاش برای برطرف کردن آنها با هدف افزایش امنیت کاربرانی است که از یک سرویس خاص استفاده می کنند. معمولا پس از یافتن یک مشکل امنیتی پس از اطلاع رسانی عمومی تلاش گسترده ای برای برطرف کردن آن از سوی توسعه دهنده آغاز می شود. اما ممکن است گاهی یک حفره امنیتی پس از سال ها ناشناخته باقی بماند. این دقیقا اتفاقیست که برای یکی از پر استفاده ترین سرویس های آنلاین جهان رخ داده.
محققین مرکز امنیت سایبری RIPS امروز اعلام کردند حرفه ای امنیتی را در وردپرس یافته اند که تقریبا در طول شش سال گذشته آزادانه در دسترس هکرها بوده است. این مشکل امنیتی با عنوان remote code execution شناخته می شود و در تمامی نسخه های منتشر شده از وردپرس تا پیش از نسخه 5.0.3 وجود داشته. به گفته محققین این مشکل امنیتی سطح دسترسی author و بالاتر از آن را در اختیار هکرها قرار می داده و این کار را از طریق استفاده ترکیبی از حفره های Path Traversal و Local File که در کد مرکزی وردپرس وجود داشته اند انجام می داده است. البته هکرها برای استفاده از این باگ می بایست حتما دارای دسترسی author در یک سایت می بوده اند اما همین نکته نیز توسط یک هکر حرفه ای به راحتی قابل دستیابی است. این تیم امنیتی اواخر سال گذشته وجود حفره امنیتی را به اطلاع تیم توسعه دهندگان وردپرس رسانده است و به گفته آنها بروزرسانی به آخرین نسخه وردپرس این مشکل را از بین می برد. البته در صورتی که وب سایت از پلاگین هایی استفاده کند که اجازه تنظیم مجدد داده های پست را در اختیار کاربران قرار دهد باز هم می توان از این حفره ها استفاده کرد.
دیدگاهتان را بنویسید