→ برگشت به فید آسیب‌پذیری‌ها
ab6ebd66-c7a4-402e-b51e-3f1f3183bd97 · prime-mover
تزریق اشیاء PHP (Object Injection) در افزونه Prime Mover – Backup and Migration
افزونه Prime Mover در نسخه‌های ۲.۲.۱ و پیش‌تر، به دلیل عدم اعتبارسنجی داده‌ها در روال جستجو و جایگزینی مهاграت، در برابر آسیب‌پذیری تزریق شیء PHP آسیب‌پذیر است. یک مهاجم بدون نیاز به احراز هویت می‌تواند اشیاء مخرب را در نظرات وردپرس ذخیره کند که با انجام عملیات پشتیبان‌گیری یا بازیابی توسط مدیر سایت، منجر به اجرای کد از راه دور از طریق زنجیره برنامه‌نویسی شیءگرا (POP Chain) می‌گردد. از آنجایی که تاکنون هیچ وصله امنیتی رسمی برای این آسیب‌پذیری منتشر نشده است، اکیداً توصیه می‌شود تا زمان ارائه آپدیت رسمی، این افزونه موقتاً غیرفعال شود.
نسخه‌های تحت تأثیر
<= 2.2.1
راهنمای اقدام و رفع مشکل (Remediation)
- ۱. پشتیبان‌گیری: قبل از اعمال هرگونه تغییر، یک بکاپ کامل از پایگاه داده و فایل‌های سایت تهیه کنید.
- ۲. به‌روزرسانی سریع: افزونه یا هسته prime-mover را بلافاصله به آخرین نسخه ارائه‌شده ارتقا دهید.
- ۳. فایروال و مانیتورینگ: در صورت عدم امکان آپدیت فوری، رول‌های امنیتی WAF را فعال کرده و لاگ‌های وب‌سرور را پایش نمایید.