مشکل امنیتی افزونه WP Statistics و نفوذ SQL Injection

مشکل امنیتی افزونه WP Statistics و نفوذ SQL Injection

حدودا 2 روز پیشتر در برخی از وب سایت های خارجی وردپرسی شایعه مشکل امنیتی افزونه WP Statistics مشاهده می شد.

مشکل چنین بیان شد که در قسمت آماری این افزونه و در توابع استفاده شده، می توان نفوذ SQL Injection انجام داد و اطلاعات وب سایت وردپرسی را مورد حمله قرارداد.

از قضا این موضوع برای من جالب آمد و بعد از تحقیق بسیار، نتیجه چنین شد :متاسفانه، صحت دارد !

SQL Injection چیست؟

تزریق به پایگاه داده (به انگلیسی: SQL injection) نوعی فن تزریق کد است که نقص امنیتی نرم‌افزار وب‌سایت را اکسپلویت می‌کند. به این صورت که نفوذگر با یک سری دستورهای اس‌کیوال، عملیاتی را (متفاوت با عملیات عادی موردنظر طراح وبسایت) در پایگاه داده وب‌سایت آسیب‌پذیر انجام می‌دهد. “منبع : ویکی پدیا”

کشف مشکل SQL Injection در افزونه

این مشکل حاد توسط تیم امنیتی Sucuri کشف شد و در وب سایت خود قرار داد.

از بابت نوع مشکل کشف شده، چنین بیان شده است :

نوع مشکل: خطرناک

سطح دسترسی به مشکل : ساده/از راه دور

میزان خطر: 7/10

نوع نفوذ: SQL Injection

نسخه مشکل دار افزونه: 12.0.8

نحوه کشف این مشکل نیز از طریق نتایج جستوجوی Sucuri Firewall صورت گرفته شده است.

تابع ()wp_statistics_searchengine_query

یکی از توابع که نفوذ از آن صورت گرفته شده است، تابع : ()wp_statistics_searchengine_query می باشد.

مشکل این تابع آنجاست که سطوح دسترسی نقش کاربری (Role) را بررسی نمی کند و اجازه دسترسی به کد کوتاه را می دهد!

جلوگیری از ایجاد مشکل امنیتی

برای جلوگیری و بروز مشکل در وب سایت خود، هرچه سریعتر افزونه آمار بازدید وردپرس wp statistics به نسخه 12.0.9 را، همین امروز به روز رسانی کنید !

موفق باشید.

تیم تولید محتوا

ما در تیم تولید محتوای میهن وردپرس در تلاش هستیم تا بهترین مقالات آموزشی در زمینه وردپرس و کسب‌و‌کارهای اینترنتی را تهیه کنیم. صحت محتوای این صفحه توسط رضا راد بررسی خواهد شد.