ورد پرس سه میلیون سایت را مجبور به نصب به روز رسانی کرد!

به گزارش کارگروه امنیت سایبربان؛ ورد پرس در یک اقدام نادر با هدف اصلاح یک آسیب پذیری جدی، پلاگین UpdraftPlus را به اجبار در تمامی سایت های به روز رسانی کرد. این آسیب پذیری به سابسکرایب کننده های وبسایت اجازه می داد تا آخرین نسخه های پشتیبانی پایگاه داده را دانلود کنند. این نسخه ها بعضا شامل داده های احراز هویت و PII هستند. 

سه میلیون سایت از این پلاگین محبوب استفاده می کنند بنابراین امکان بهره برداری از آن بسیار زیاد است و می تواند بخش قابل توجهی از اینترنت از جمله پلتفرم های بزرگ را تحت الشعاع قرار دهد.

این آسیب پذیری نسخه های 1.16.7 تا 1.22.2 پلاگین UpdraftPlus را تحت الشعاع قرار می دهد. توسعه دهندگان با انتشار نسخه 1.22.3 این آسیب پذیری را اصلاح کردند. 

این نقص امنیتی (CVE-2022-0633) توسط محققین امنیتی شرکت Automattic (اتوماتیک) شناسایی شد.

UpdraftPlus می تواند فرآیند تهیه نسخه پشتیبانی و بازیابی را با قابلیت بک آپ زمان بندی شده و ویژگی دانلود خودکار برای نشانی ایمیل مورد اطمینان خود تسهیل کند. 

بر اساس باگ های شناسایی شده در پلاگین، هر کاربری می تواند با ساخت یک لینک معتبر فایل ها را دانلود کند. 

این نقص امنیتی روز 14 فوریه 2022 شناسایی شد. توسعه دهندگان این پلاگین معروف اما به سرعت واکنش نشان دادند و 16 فوریه 2022 به اجبار تمامی سایت های تحت پوشش را به روز رسانی کردند. 

طبق عقیده کارشناسان، این اقدام از سوی ورد پرس در نوع خود کم نظیر بود و تمامی سایت ها را بدون نظر گرفته شدن تنظیمات ادمین مجبور به  به روز رسانی کرد.

این اقدام از سوی ورد پرس نشان دهنده جدی بودن این آسیب پذیری بود!