نقص امنیتی مهم در افزونه UpdraftPlus: همین حالا افزونه را آپدیت کنید

سایت Ars Technica گزارش داده که میلیون ها سایت وردپرس در چند روز گذشته یک وصله اجباری دریافت کرده اند. دلیل آن یک آسیب پذیری در UpdraftPlus است، افزونه ای محبوب که به کاربران اجازه می دهد تا نسخه پشتیبان از وب سایت ایجاد و بازیابی کنند. توسعه دهندگان UpdraftPlus درخواست وصله اجباری را داشتند، زیرا این آسیب پذیری به هر کسی که یک حساب کاربری دارد اجازه می دهد کل پایگاه داده یک وب سایت را دانلود کند.

این باگ توسط مارک مونتپاس، محقق امنیتی Jetpack در طی ممیزی امنیتی این افزونه کشف شد. وی به Ars Technica گفت:

استفاده از این باگ بسیار آسان است و اگر مورد سوء استفاده قرار گیرد، نتایج بسیار بدی خواهد داشت. باگ جدید این امکان را برای کاربران کم امتیاز فراهم کرد تا نسخه های پشتیبان سایت را دانلود کنند که شامل نسخه های پشتیبان خام پایگاه داده می شود.

مونتپاس سه‌شنبه هفته گذشته به توسعه‌دهندگان UpdraftPlus درباره این باگ گفت، آنها یک روز بعد آن را برطرف کردند و مدت کوتاهی پس از آن شروع به نصب اجباری پچ کردند. 1.7 میلیون سایت از 3 میلیون کاربر بیشتر، تا روز پنجشنبه آن را دریافت کرده بودند. نقص اصلی این بود که UpdraftPlus با بررسی صحیح عملکرد “Hearbeat” وردپرس را به درستی اجرا نکرد تا ببیند آیا کاربران دارای امتیازات مدیریتی هستند یا خیر. مشکل دیگر متغیری بود که برای اعتبارسنجی ادمین ها استفاده می شد که می توانست توسط کاربران نامعتبر اصلاح شود.