يستغل المتسللون عيب مكون WordPress الإضافي الذي يمنح التحكم الكامل في ملايين المواقع

قال الباحثون إن المتسللين يستغلون بنشاط ثغرة خطيرة في مكون WordPress الإضافي المستخدم على نطاق واسع والذي يمنحهم القدرة على السيطرة الكاملة على ملايين المواقع.

الثغرة ، التي تحمل تصنيف خطورة يبلغ 8.8 من 10 محتملة ، موجودة في Elementor Pro ، وهو مكون إضافي مميز يعمل على أكثر من 12 مليون موقع مدعوم من نظام إدارة محتوى WordPress. يتيح Elementor Pro للمستخدمين إنشاء مواقع ويب عالية الجودة باستخدام مجموعة واسعة من الأدوات ، أحدها WooCommerce ، وهو مكون إضافي لبرنامج WordPress. عند استيفاء هذه الشروط ، يمكن لأي شخص لديه حساب على الموقع – على سبيل المثال مشترك أو عميل – إنشاء حسابات جديدة لها امتيازات المسؤول الكاملة.

تم اكتشاف الثغرة الأمنية بواسطة جيروم بروانديت ، الباحث في شركة الأمن NinTechNet. في الأسبوع الماضي ، أصدر Elementor ، مطور المكون الإضافي Elementor Pro ، الإصدار 3.11.7 ، والذي أصلح الخلل. في منشور نُشر يوم الثلاثاء ، كتب Bruandet:

يمكن للمهاجم المصادق عليه الاستفادة من الثغرة الأمنية لإنشاء حساب مسؤول عن طريق تمكين التسجيل (users_can_register) وتعيين الدور الافتراضي (default_role) إلى “المسؤول” ، قم بتغيير عنوان البريد الإلكتروني للمسؤول (admin_email) أو ، كما هو موضح أدناه ، قم بإعادة توجيه كل حركة المرور إلى موقع ويب ضار خارجي عن طريق التغيير siteurl من بين العديد من الاحتمالات الأخرى:

MariaDB [example]> SELECT * FROM `wp_options` WHERE `option_name`='siteurl';
+-----------+-------------+------------------+----------+
| option_id | option_name | option_value     | autoload |
+-----------+-------------+------------------+----------+
|		 1 | siteurl     | https://evil.com | yes 	 |
+-----------+-------------+------------------+----------+
1 row in set (0.001 sec)

الآن ، أفاد باحثون مع شركة أمان منفصلة ، PatchStack ، أن الثغرة الأمنية تخضع للاستغلال النشط. تأتي الهجمات من مجموعة متنوعة من عناوين IP ، بما في ذلك:

• 193.169.194.63
• 193.169.195.64
• 194.135.30.6

غالبًا ما تحمل الملفات التي يتم تحميلها إلى المواقع المخترقة الأسماء التالية:

• wp-resortpack. أَزِيز
• معدل wp. بي أتش بي
• ليرة لبنانية. أَزِيز

غالبًا ما يتم تغيير عناوين URL للمواقع المخترقة إلى:

• بعيد[dot]تعقب[dot]كوم

تنبع ثغرة التحكم في الوصول المعطلة من استخدام Elementor Pro لمكون “elementor-pro / modules / woocommerce / module.php”. عند تشغيل WooCommerce ، يسجل هذا البرنامج النصي إجراءات AJAX التالية:

/**
 * Register Ajax Actions.
 *
 * Registers ajax action used by the Editor js.
 *
 * @since 3.5.0
 *
 * @param Ajax $ajax
 */
public function register_ajax_actions( Ajax $ajax ) {
   // `woocommerce_update_page_option` is called in the editor save-show-modal.js.
   $ajax->register_ajax_action( 'pro_woocommerce_update_page_option', [ $this, 'update_page_option' ] );
   $ajax->register_ajax_action( 'pro_woocommerce_mock_notices', [ $this, 'woocommerce_mock_notices' ] );
}

و

/**
 * Update Page Option.
 *
 * Ajax action can be used to update any WooCommerce option.
 *
 * @since 3.5.0
 *
 * @param array $data
 */
public function update_page_option( $data ) {
   update_option( $data['option_name'], $data['editor_post_id'] );
}

أوضح Bruandet أن وظيفة update_option “من المفترض أن تسمح للمسؤول أو مدير المتجر بتحديث بعض خيارات WooCommerce المحددة ، ولكن لم يتم التحقق من صحة إدخال المستخدم وتفتقر الوظيفة إلى فحص القدرة لتقييد وصولها إلى مستخدم ذي امتيازات عالية فقط”. هو أكمل:

يستخدم Elementor معالج AJAX الخاص به لإدارة معظم إجراءات AJAX ، بما في ذلك pro_woocommerce_update_page_optionمع العالمية elementor_ajax فعل. إنه موجود في البرنامج النصي “elementor / core / common / modules / ajax / module.php” للإصدار المجاني (وهو مطلوب لتشغيل Elementor Pro):

/**
 * Handle ajax request.
 *
 * Verify ajax nonce, and run all the registered actions for this request.
 *
 * Fired by `wp_ajax_elementor_ajax` action.
 *
 * @since 2.0.0
 * @access public
 */
public function handle_ajax_request() {
   if ( ! $this->verify_request_nonce() ) {
  	$this->add_response_data( false, esc_html__( 'Token Expired.', 'elementor' ) )
     	->send_error( Exceptions::UNAUTHORIZED );
   }
   ...

يجب على أي شخص يستخدم Elementor Pro التأكد من أنه يعمل 3.11.7 أو أحدث ، حيث أن جميع الإصدارات السابقة معرضة للخطر. من الجيد أيضًا أن يقوم هؤلاء المستخدمون بفحص مواقعهم بحثًا عن علامات الإصابة المدرجة في منشور PatchStack.