آسیب پذیری های امنیتی افزونه های وردپرس در سال 2022

وردپرس یک CMS متن باز (open source) است. شاید این جمله را بارها و بارها شنیده باشیم اما هیچوقت به این فکر نکردیم که این ویژگی چه فرصت ها و چه تهدیدهایی را پیش روی ما قرار می دهد. ویژگی متن باز بودن یک پلتفرم، علاوه بر امکانات شخصی سازی نامحدودی که دارد، مشکلاتی را نیز در پی خواهد داشت. آسیب پذیری های امنیتی وردپرس یکی از همین مشکلات است.

پس از ارائه آپدیت جدید امنیتی وردپرس، برخی از این حفره های امنیتی ترمیم شدند. اما هنوز هم به دلیل ماهیت متن باز بودن این پلتفرم محبوب، احتمال حملات خرابکارانه از طرق مختلف وجود دارد. یکی از این راه ها، استفاده از حفره های امنیتی موجود در افزونه های نصب شده روی وردپرس است. در واقع هکرها با استفاده از این ضعف های امنیتی می توانند به سایت شما نفوذ کنند یا ارسالی و دریافتی از سایت شما را شنود و ذخیره کنند. این امر، خطر سواستفاده از اطلاعات شما را در پی دارد.

به روز رسانی امنیتی جدید وردپرس

در تاریخ 30 آگوست 2022 وردپرس آپدیت امنیتی جدید با شماره 6.0.2 را ارائه کرد. طبق مستندات موجود، این آپدیت شامل رفع 12 آسیب پذیری هسته وردپرس، 5 باگ مربوط به ویرایشگر و 3 حفره امنیتی می باشد. در این به روزرسانی موارد شدید امنیتی نظیر SQL injection و همچنین XSS کشف و مرتفع شدند. به دلیل ماهیت امنیتی این به روزرسانی، وردپرس به صورت خودکار این آپدیت را دریافت می کند. اما اگر هسته وردپرس شما هنوز به این نسخه آپدیت نشده است، بهتر است هرچه سریعتر اینکار را انجام دهید. البته وردپرس وعده ارائه آپدیت بزرگ 6.1 در اول ماه نوامبر را نیز داده است.

حفره های امنیتی موجود در افزونه های وردپرس

همانطور که پیش تر گفتیم، وردپرس به سبب بهره گیری از پلاگین های شخص ثالث، در معرض آسیب پذیری های بی شماری قرار دارد. بنابراین بخش عمده این مشکلات امنیتی به افزونه ها و پوسته ها مربوط می شود. تقریبا راهی برای در امان ماندن از این حملات وجود ندارد. اما مانند همیشه، توصیه ما به استفاده از افزونه های معتبر و خرید افزونه از فروشگاه های مطمئن است. این امر تا حد زیادی از احتمال بروز مشکلات امنیتی در وبسایت شما می کاهد.

در ادامه لیستی از افزونه هایی که آسیب پذیری های امنیتی جدیدی در آن ها کشف شده را با هم مرور می کنیم:

افزونه All-in-One WP Migration

در نسخه 7.6.2 این افزونه آسیب پذیری تحت عنوان Unauthenticated Reflected XSS کشف شده است. این آسیب پذیری دارای سطح متوسط بوده اما به دلیل ماهیت مخربش، شدیداً نیاز به رفع آن وجود دارد. در این باگ، هکر از اکشن ai1wm برای اجرای کدهای مخرب JS یا HTML خود استفاده می کند. خوشبختانه با ارائه آپدیت 7.6.3 از سوی سازنده، این باگ امنیتی مرتفع شد.

افزونه Advanced Custom Fields

وجود حفره امنیتی سطح بالا از نوع Injection در این افزونه شناسایی شده است. نفوذگر با استفاده از این باگ میتواند فایل های مخرب خود را درون سایت بارگذاری نماید. اگر از این افزونه استفاده می کنید، هرچه سریعتر آن را به نسخه امن 5.12.3 به روز رسانی کنید.

افزونه Autoptimize

وجود آسیب پذیری نوع XSS در نسخه 3.1.0 این افزونه شناسایی شده است. با این باگ، کاربران با سطح دسترسی بالا می توانند فایل های مخربی را درون سایت وارد کنند. حتی در صورتی هم که unfiltered_html غیرفعال باشد، این آسیب پذیری وجود دارد. برای رهایی از مشکلات احتمالی ضروریست که به نسخه جدیدتر یعنی 3.1.1 به روز رسانی نمایید.

افزونه Better Search Replace

این افزونه در نسخه 1.4 خود دارای باگ Injection می باشد. براساس شواهد، کاربران سطح بالا هنگام درج اطلاعات درون جداول SQL، امکان تزریق کدهای مخرب را دارند. شما میتوانید با به روز رسانی به نسخه ی 1.4.1 از احتمال این حمله مخرب جلوگیری کنید.

افزونه Photo gallery

گویا آسیب پذیری های امنیتی در وردپرس تمامی ندارد. در افزونه Photo gallery بعضی از URLها هنگام برگشت دوباره به attributeها به درستی پاکسازی نمی شوند. این باگ احتمال حملات Reflected XSS را بالا می برد. بهتر است برای رفع این آسیب پذیری نسخه 1.7.1 را دریافت و نصب کنید.

افزونه WooCommerce PDF Invoices & Packing Slips

این افزونه در نسخه 3 خود دارای حفره امنیتی از نوع XSS می باشد. بنابراین نیاز است تا هرچه سریعتر آن را به نسخه ایمن 3.0.1 آپدیت نمایید. در نسخه قبلی این پلاگین، برخی از پارامترها هنگام بازگشت به صفحه مدیریت پاکسازی نمی شدند که می توانست دستمایه حملات مختلفی قرار گیرد.

افزونه Anti-Malware Security and Brute-Force Firewall

باز هم آسیب پذیری از نوع Reflected XSS در یک افزونه امنیتی. این مورد قبلا هم رویت شده بود. در این حفره امنیتی پارامترهای امنیتی زیادی به صفحه مدیریت وردپرس بازگردانده می شوند. برای در امان ماندن از حملات احتمالی از جانب این افزونه، نسخه 4.21.83 را نصب کنید.

افزونه WP Hide & Security Enhancer

یک آسیب پذیری XSS دیگر در نسخه 1.7.9.2 پلاگین WP hide شناسایی شده است. البته شرکت سازنده برای رفع این مشکل نسخه 1.8 را عرضه کرده است. در نسخه پیشین یکی از پارامترهای امنیتی مهم به صفحه Backend سایت باز می گشت.

افزونه Social Slider Feed

در نسخه 2.0.4 برخی از URLها پیش از برگشت به Attributeها به درستی پاکسازی نمی شدند. این باگ باعث ایجاد احتمال حمله XSS در سایت می شود. بنابراین شرکت سازنده افزونه، نسخه 2.0.5 را منتشر کرده است.

افزونه Affiliates Manager

این افزونه هم مانند بسیاری از افزونه ها دچار حفره امنیتی XSS می باشد. برای در امان ماندن از این حملات، افزونه را به نسخه 2.9.14 یا بالاتر آپگرید کنید.

افزونه WP Sticky Button

آسیب پذیری این افزونه در هنگام ذخیره تنظیمات بروز می کند. جایی که عدم استفاده از احراز هویت و CSRF موجبات سو استفاده احتمالی را بالا می برد. هکر با آگاهی از این باگ می تواند تنظیمات افزونه را بدون داشتن دسترسی ادمین، تغییر دهد. علاوه بر این، این کار احتمال حملات XSS را نیز بالا می برد. گروه سازنده این افزونه توصیه میکنند حتما از نسخه های 1.4.1 به بعد را استفاده کنید.

افزونه های مخرب وردپرس

در بالا لیست افزونه هایی که حفره امنیتی آنها شناسایی و رفع شده را مشاهده کردید. در این بین افزونه هایی هم وجود دارند که علی رغم شناسایی باگ امنیتی آنها، اما هنوز هم آپدیت امنیتی دریافت نکردند. توصیه اکید ما این است که حتی الامکان این افزونه ها را در وبسایت وردپرسی خود بکار نبرید.
لیست این افزونه ها مطابق زیر است:

• افزونه BadgeOS (سطح ریسک بالا)
• افزونه Slickr Flickr (سطح ریسک متوسط)
• افزونه Float to Top Button (سطح ریسک متوسط)
• افزونه Gettext override translations (سطح ریسک متوسط)
• افزونه SEO Scout (سطح ریسک متوسط)
• افزونه Better Font Awesome (سطح ریسک متوسط)

جلوگیری از هک شدن وردپرس

بررسی آسیب پذیری های امنیتی در وردپرس و افزونه ها، کار متخصصان امنیت و برنامه نویسان است. از این رو امکان شناسایی افزونه های حاوی کدهای مخرب، برای افراد عادی وجود ندارد. اما با رصد دائمی مقالات این حوزه می توان از جدیدترین تهدیدات و مخاطرات آگاه شد. بکارگیری افزونه هایی با منبع نامطمئن باعث افزایش این مخاطرات می شود. به همین خاطر همیشه توصیه می شود که کار طراحی و پشتیبانی امنیتی سایت خود را به یک تیم مجرب و متخصص واگذار نمایید.
به روز رسانی مرتب افزونه ها و پیگیری آپدیت های امنیتی می تواند تا حد زیادی از بروز مشکلات احتمالی بکاهد. از سوی دیگر مانیتورینگ دائمی سرور نیز، بخشی از این حملات را حذف میکند. تیم طراحی و پشتیبانی سایت تهران سرور با بهره گیری از متخصصین این زمینه، بهترین راهکارهای امنیتی وبسایت را در اختیارتان قرار می دهد. همچنین در صورتی که نیاز به مشاوره جهت طراحی و افزایش امنیت سایت خود دارید، کارشناسان ما آماده ارائه مشاوره فنی به شما همراهان می باشند.