→ برگشت به فید آسیب‌پذیری‌ها
dc1ae2c7-1eff-4976-8f88-f0b97a5cf323 · wordpress
آسیب‌پذیری Missing Authorization در هسته وردپرس
هسته وردپرس در نسخه‌های مختلف تا ۷.۱ به دلیل فقدان بررسی قابلیت manage_network_plugins هنگام فعال‌سازی افزونه فقط-شبکه از طریق اکشن AJAX wp_ajax_activate_plugin() و عدم تطابق نرمال‌سازی مسیر بین توابع is_network_only_plugin() و activate_plugin() آسیب‌پذیر است. این امر به مهاجمان احراز هویت‌شده با دسترسی مدیر سایت در شبکه چندسایته اجازه می‌دهد افزونه فقط-شبکه نصب‌شده را در سطح شبکه فعال کنند. با توجه به وجود وصله امنیتی، توصیه می‌شود فوراً وردپرس را به نسخه امن به‌روزرسانی کنید.
نسخه‌های تحت تأثیر
<= 6.6.7, >= 6.7 & <= 6.7.7, >= 6.8 & <= 6.8.8, >= 6.9 & <= 6.9.7, >= 7.0 & <= 7.0.4, >= 7.1 & <= 7.1
راهنمای اقدام و رفع مشکل (Remediation)
- ۱. پشتیبان‌گیری: قبل از اعمال هرگونه تغییر، یک بکاپ کامل از پایگاه داده و فایل‌های سایت تهیه کنید.
- ۲. به‌روزرسانی سریع: افزونه یا هسته wordpress را بلافاصله به آخرین نسخه ارائه‌شده ارتقا دهید.
- ۳. فایروال و مانیتورینگ: در صورت عدم امکان آپدیت فوری، رول‌های امنیتی WAF را فعال کرده و لاگ‌های وب‌سرور را پایش نمایید.