آسیب‌پذیری‌های امنیتی حیاتی در یک افزونه وردپرس به نام PHP Everywhere فاش شده است که توسط بیش از ۳۰۰۰۰ وب‌سایت در سراسر جهان استفاده می‌شود و ممکن است توسط یک مهاجم برای اجرای کد دلخواه در سیستم‌های آسیب‌دیده مورد بهره‌برداری قرار گیرد.
PHP Everywhere برای جابجایی کد PHP در نصب‌های وردپرس استفاده می‌شود[۱] و کاربران را قادر می‌سازد تا کدهای مبتنی بر PHP را در صفحات، پست‌ها و نوار کناری سیستم مدیریت محتوا وارد و اجرا کنند.
این سه مشکل، همه دارای امتیاز ۹٫۹ از حداکثر ۱۰ در سیستم رتبه‌بندی CVSS در نسخه‌های تأثیرگذار ۲٫۰٫۳ و پایین‌تر هستند که به شرح زیر می‌باشند:
CVE-2022-24663 – اجرای کد از راه دور توسط کاربران Subscriber+ از طریق کد کوتاه
CVE-2022-24664 – اجرای کد از راه دور توسط کاربران Contributor+ از طریق metabox، و
CVE-2022-24665 – اجرای کد از راه دور توسط کاربران Contributor+ از طریق بلوک گوتنبرگ
بهره‌برداری موفقیت‌آمیز از این سه آسیب‌پذیری می‌تواند منجر به اجرای کد PHP مخربی شود که می‌تواند برای دستیابی به کنترل کامل سایت مورداستفاده قرار گیرد.
شرکت امنیتی وردپرس Wordfence اعلام کرد[۲] که این نقص‌ها را در تاریخ ۴ ژانویه به نویسنده این افزونه یعنی Alexander Fuchs اعلام کرده است، پس‌ازآن به‌روزرسانی‌ها در ۱۲ ژانویه ۲۰۲۲ با نسخه ۳٫۰٫۰ با حذف کامل کد آسیب‌پذیر منتشر شد.
اکنون در صفحه توضیحات به‌روز شده این افزونه آمده است: “به‌روزرسانی به نسخه ۳٫۰٫۰ این افزونه یک تغییر قطعی است که کد کوتاه و ویجت [php_everywhere] را حذف می‌کند. به‌روزرسانی را از صفحه تنظیمات افزونه اجرا کنید تا کد قدیمی خود را به بلوک‌های گوتنبرگ منتقل کنید.”
شایان‌ذکر است که نسخه ۳٫۰٫۰ تنها از قطعه‌های PHP از طریق ویرایشگر Block پشتیبانی می‌کند[۳]، که لازم است کاربرانی که هنوز به ویرایشگر کلاسیک[۴] اعتماد می‌کنند، افزونه را حذف کرده و راه‌حلی جایگزین برای میزبانی کد PHP سفارشی دانلود کنند.
منابع
[۱] https://wordpress.org/plugins/php-everywhere
[۲] https://www.wordfence.com/blog/2022/02/critical-vulnerabilities-in-php-everywhere-allow-remote-code-execution
[۳] https://wordpress.com/support/wordpress-editor
[۴] https://wordpress.com/support/classic-editor-guide
[۵] https://thehackernews.com/2022/02/critical-rce-flaws-in-php-everywhere.html
ثبت ديدگاه