یک آسیب‌پذیری مهم در بارگذاری پرونده‌ها در افزونه Fancy Product Designer که در بیش از ۱۷۰۰۰ سایت وردپرسی نصب شده است، کشف شده است که می‌تواند برای بارگذاری بدافزار روی سایت‌هایی که پلاگین را نصب کرده‌اند مورد استفاده قرار گیرد.
تیم تحقیقاتی Wordfence که این نقص را کشف کرده‌اند گفته‌اند که این مسئله را در تاریخ ۳۱ May به توسعه دهنده این پلاگین گزارش داده‌اند. با اینکه این نقص تأیید شده است، اما هنوز رفع نشده است.
Fancy Product Designer ابزاری است که مشاغل را قادر می‌سازد محصولات قابل شخصی‌سازی ارائه دهند و به مشتریان اجازه می‌دهد با ارائه قابلیت بارگذاری تصاویر و فایل‌های PDF قابل اضافه شدن به محصولات، هر نوع کالایی از تی‌شرت تا قاب گوشی را طراحی کنند.
Wordfence در یک نوشتار گفت: متأسفانه در حالی که این پلاگین برای جلوگیری از بارگذاری پرونده‌های مخرب بررسی‌های درستی انجام داده بود، اما این چک‌های امنیتی کافی نبوده و به راحتی قابل عبور بودند، این نقص به مهاجمین اجازه می‌دهد تا فایل‌های PHP قابل اجرا را در هر سایتی که پلاگین نصب شده بارگذاری کنند.
محققان متذکر شدند که با استفاده از این آسیب‌پذیری یک مهاجم می‌تواند از راه دور کد مخرب خود را در یک وب‌سایت قرار دهد و سایت را کاملا تصاحب کند. Wordfence مشخصات فنی این آسیب‌پذیری را به دلیل جلوکیری از حملات بیشتر به اشتراک نگذاشته است.
Wordfence گفت که حتی درصورت غیرفعال شدن افزونه، می‌توان از Zero-Day در تنظیمات انتخابی بهره برد و از کاربران خواست که Fancy Product Designer را تا زمانی که نسخه وصله شده در دسترس قرار نگرفته است، حذف کنند.
یک نظر