قابل‌توجه کاربران وردپرس! اگر از افزونه‌های «Ultimate Addons for Beaver Builder» یا «Ultimate Addons for Elementor» استفاده کرده و اخیرا آن‌ها را به جدیدترین نسخه‌های موجود به‌روز نکرده‌اید، وب‌سایت شما می‌تواند به‌راحتی هک شود.
محققان امنیتی یک آسیب‌پذیری بحرانی و درعین‌حال، آسان دور زدن احراز هویت را در هر دو افزونه‌ی پرکاربرد وردپرس کشف کرده‌اند که امکان دسترسی مدیریتی به وب‌سایت‌ها را بدون نیاز به گذرواژه، برای مهاجمان فراهم می‌کند. مسئله‌ی نگران‌کننده‌تر این‌که، مهاجمان فرصت‌طلب از ۲ روز قبل از کشف‌شدن این آسیب‌پذیری، آن را در دنیای واقعی و به‌منظور به خطر انداختن وب‌سایت‌های آسیب‌پذیر وردپرس و نصب یک درب پشتی مخرب برای دسترسی‌های بعدی، مورد بهره‌برداری قرار داده‌اند.
هر دو افزونه‌ی آسیب‌پذیر که توسط شرکت توسعه‌ی نرم‌افزار Brainstorm Force ساخته شده‌اند، درحال‌حاضر با استفاده از چارچوب‌های Elementor و Beaver Builder در صدها هزار وب‌سایت وردپرس در گسترش قابلیت‌های وب‌سایت‌ها با استفاده از ابزارها، ماژول‌ها و قالب‌های صفحه‌ی بیشتر، به مدیران و طراحان وب‌سایت‌ها کمک می‌کنند. این آسیب‌پذیری که توسط محققان سرویس امنیت وب MalCare کشف شده و در هر دو افزونه‌ی مذکور وجود دارد، به دارندگان حساب وردپرس از جمله مدیرها اجازه می‌دهد تا از طریق سازوکارهای ورود فیس‌بوک و گوگل، تأیید اعتبار کنند.
طبق مشاوره‌نامه‌ی منتشرشده برای این آسیب‌پذیری، به‌دلیل عدم بررسی روش احراز هویت در هنگام ورود کاربر از طریق فیس‌بوک یا گوگل، افزونه‌های آسیب‌پذیر می‌توانند به کاربران مخرب اجازه دهند تا مانند هر کاربر دیگری بدون نیاز به گذرواژه وارد سیستم شوند.
محققان WebARX که این آسیب‌پذیری را تحلیل و بهره‌برداری فعال از آن را تأیید کرده‌اند، توضیح دادند: «بااین‌حال، روش‌های احراز هویت فیس‌بوک و گوگل، توکن (نشانه) بازگردانده‌شده توسط فیس‌بوک و گوگل را تأیید نکرده و از آن‌جایی که به رمزعبور نیز نیازی ندارند، بررسی گذرواژه‌ای صورت نمی‌گیرد.» علاوه‌براین، به گفتهی سرویس امنیت وب MalCare: «به‌منظور بهره‌برداری از این آسیب‌پذیری، نفوذگر باید از شناسه‌ی ایمیل یک کاربر سرور سایت استفاده کند. در بیشتر موارد، این اطلاعات می‌توانند به‌آسانی بازیابی شوند.»
وب‌سایت WebARX تأیید کرده است که مهاجمان پس از آپلود یک فایل tmp.zip بر روی سرور هدف وردپرس، از این آسیب‌پذیری برای نصب افزونه‌ی جعلی SEO stats و درنهایت، نصب یک فایل درب پشتی wp-xmlrpc.php بر روی دایرکتوری وب‌سایت آسیب‌پذیر، بهره‌برداری کرده‌اند. به گفتهی سرویس MalCare، این آسیب‌پذیری نسخه‌ی ۱٫۲۰٫۰ از افزونه‌ی Ultimate Addons for Elementor و نسخه‌ی ۱٫۲۴٫۰ از افزونه‌ی Ultimate Addons for Beaver Builder را تحت تأثیر قرار می‌دهد. این آسیب‌پذیری بلافاصله پس از کشف به توسعه‌دهندگان گزارش شد و آن‌ها نیز، با انتشار نسخه‌های وصله‌شده‌ی این افزونه‌ها یعنی نسخه‌های ۱٫۲۰٫۱ و ۱٫۲۴٫۱ در ظرف تنها ۷ ساعت، این اشکال را وصله کردند. به تمامی وب‌سایت‌های آسیب‌پذیر توصیه می‌شود که در اسرع وقت، نسبت به نصب آخرین نسخه‌های وصله‌شده اقدام کنند.
