تخيل أن جميع ملفات موقعك مشفرة، بينما يتطلب المخترقون آلاف...
أعرف عن الثغرةثغرة بإضافة [Ultimate Member] تؤثر على أكثر من 200 ألف موقع إلكتروني
- الكاتب: م. أحمد أسامة
- الدعم التقني, ثغرات
- 2 تعليقات
في 28 فبراير 2024، تلقى فريق وردفينس إحدى إضافات الحماية على منصة وردبريس طلب بشأن ثغرة من نوع [XXS] في إضافة [Ultimate Member] المثبتة في أكثر من 200 ألف موقع إلكتروني وهذه الثغرة الأمنية المكتشفة تسمح بإدخال اسكريبتات أو نصوص ويب قد تضر بموقعك والتفاصيل في الأسطر القادمة.
المحتوى
ما هي إضافة Ultimate Member؟
من أهم الإضافات التي تسمح بعمل حسابات وعضويات على موقعك الإلكتروني بمنصة وردبريس، فالإضافة تسهل على المستخدمين أن يشتركوا ويصبحوا أعضاء بموقعك ويتيح لك مزايا عديدة تخص ملفات التعريف لكل حساب كما أنه مثالي لإنشاء مجتمعات ومواقع عضوية متقدمة عبر الإنترنت. خفيف الوزن وقابل للتوسيع بدرجة كبيرة، يتيح لك Ultimate Member إنشاء أي نوع من المواقع تقريبًا حيث يمكن للمستخدمين الانضمام ويصبحوا أعضاء بسهولة مطلقة.
الإصدار المٌصاب
التحليل الفني للثغرة
من مزايا الإضافة المذكورة هو نموذج التسجيل المخصص [custom registration form] ودليل الأعضاء [member directories] والتي من خلالها نستعرض قائمة الأعضاء والمستخدمين بالموقع.
لسوء الحظ التنفيذ غير الآمن لوظائف دليل الأعضاء يسمح بحقن نصوص وأكواد ضارة.
يكشف فحص الكود أن الإضافة تتضمن ملفات member-list.php أو member-grid.php اعتمادًا على الإعدادات، والتي تحتوي على underscore.js لقائمة المستخدمين.
يتلقى ملف العرض بيانات المستخدم عبر AJAX من دالة ajax_get_members()، والتي تستخدم دالة build_user_card_data() لتجميع بيانات المستخدم.
يمكن للمهاجم تقديم اسم ببرنامج نصي ضار أثناء التسجيل كمستخدم غير مصادق.
كما هو الحال دائمًا، يمكن استخدام ثغرات البرمجة النصية عبر المواقع لإدخال تعليمات برمجية يمكنها إضافة مستخدمين إداريين جدد، وإعادة توجيه الضحايا إلى مواقع ضارة، وإدخال أبواب خلفية في ملفات السمات والمكونات الإضافية، وغير ذلك الكثير.
بالإضافة إلى حقيقة أنه يمكن استغلال الثغرة الأمنية من قبل مهاجمين ليس لديهم امتيازات على موقع معرض للخطر، فهذا يعني أن هناك فرصة كبيرة لأن يتمكن المهاجمون غير المصادقين من الحصول على وصول إداري للمستخدم على المواقع التي تقوم بتشغيل الإصدار الضعيف من البرنامج الإضافي عند استغلالها بنجاح.
الجدول الزمني
28 فبراير 2024 – تلقى فريق وردفينس إرسال الثغرة الأمنية للبرمجة عبر المواقع (XSS) المخزنة في Ultimate Member عبر برنامج Wordfence Bug Bounty.
- 1 مارس 2024 – قاموا بالتحقق من صحة التقرير وتأكيد استغلال إثبات المفهوم.
- 2 مارس 2024 – أرسلوا تفاصيل الإفصاح الكاملة.
- 4 مارس 2024 – يقر المورد بالتقرير ويبدأ العمل على الإصلاح.
- 6 مارس 2024 – تم إصدار النسخة المصححة بالكامل من البرنامج الإضافي، 2.8.4.
رسالة لعملاءي
كافة عملاءي الذين اشتركوا بخدمة الدعم التقني بأمان ويتم تحديث مواقعهم ومشاريعهم على الفور ويتم إرسال التقارير لهم أولًا بأول، إذا لم تكن من عملاءي الذين استفادوا من خدمة الدعم التقني فيمكنك طلب فحص موقعك مجانًا دون أي مقابل وإبلاغك بالمشاكل والثغرات بموقعك وتفاصيل الباقات إذا كنت مهتمًا بتأمين وحماية مشروعك والخدمات التي ستحصل عليها تجدها بالمقالة.
الدعم التقني
أوصيك إذا لم تكن تقنيًا بتوظيف أحد المتخصصين لرعاية وفحص موقعك وتحديثه وصيانته أولًا بأول فلا يمكنك أبدًا الحصول على موقع آمن وينافس ويظهر بشكل احترافي للعملاء دون وجود دعم تقني دوري للموقع فلعلك لاحظت التحديثات والترقيات الدائمة لتطبيقات هواتفك أو نظام تشغيلك أو متصفحك وحتى برامح فحص الفيروسات نفسها.. إن التحديثات والتأمينات باتت ضرورة ملحة بعدما أصبحت الهجمات لا تبقي ولا تذر أحدًا حتى المنصات الكبيرة والمواقع المشهورة.
فلم يعد الدعم التقني ووجود متخصص معك أمر ترفيهي بل أصبح من البديهيات إذا كنت تخشى على كيانك الإلكتروني وتخشى على ما أنفقت فيه وتطمح للمنافسة والتوسع على شبكة التواصل الاجتماعي، ولأجل ذلك قمت بإعداد هذه الخدمة عبر باقات متنوعة وخدمة منفصلة شهد لها عملائي عبر تعليقاتهم بالموقع أو عبر حسابي على لينكدإن بكل إيجابية وترحاب.
الشهر الواحد
دعم الصيانة والتحديثات-
صيانة الأعطال التقنية
-
تحديث الأنظمة وحمايتها
-
تأمين المواقع والتطبيقات
-
ضبط وتأمين الاستضافات
-
تصحيح الأكواد البرمجية
-
حماية الملفات البرمجية
-
فحص الفيروسات الدوري
-
نسخ احتياطي آمن
ربع سنوي
دعم الصيانة والتحديثات-
صيانة الأعطال التقنية
-
تحديث الأنظمة وحمايتها
-
تأمين المواقع والتطبيقات
-
ضبط وتأمين الاستضافات
-
تصحيح الأكواد البرمجية
-
حماية الملفات البرمجية
-
فحص الفيروسات الدوري
-
نسخ احتياطي آمن
نصف سنوي
دعم الصيانة والتحديثات-
صيانة الأعطال التقنية
-
تحديث الأنظمة وحمايتها
-
تأمين المواقع والتطبيقات
-
ضبط وتأمين الاستضافات
-
تصحيح الأكواد البرمجية
-
حماية الملفات البرمجية
-
فحص الفيروسات الدوري
-
نسخ احتياطي آمن
العام الكامل
دعم الصيانة والتحديثات-
صيانة الأعطال التقنية
-
تحديث الأنظمة وحمايتها
-
تأمين المواقع والتطبيقات
-
ضبط وتأمين الاستضافات
-
تصحيح الأكواد البرمجية
-
حماية الملفات البرمجية
-
فحص الفيروسات الدوري
-
نسخ احتياطي آمن
ختام المقالة
أرجو أن أكون قد وفقت في إظهار أهمية وخطورة الدعم التقني وأن يكون سردي قد نال إعجابكم وأقبل تعليقاتكم بالأسفل ويسعدني كافة مشاركتكم.. هذه الخدمة لها صفحة منفصلة بها كافة التفاصيل في حالة احتياجك لهذه الخدمة من أجل موقعك الإلكتروني أو تطبيقك ولا تنسى زائري الكريم بتحديث الإضافة الآن لآخر نسخة لكي تكون بأمان حتى توظفني وأفحص موقعك بالكامل وأعطيك تقرير مفصل لكافة أجزاء كيانك البرمجي.
شارك المقالة للإفادة
نبذة عن الكاتب
لمعرفة المقالات الجديدة والتواصل معي تابعني عبر:
دليل شامل لأشهر 10 أنواع من الهجمات على المواقع وكيف تحمي موقعك منها
مع التطور السريع في التكنولوجيا وزيادة الاعتماد على الإنترنت في...
أعرف عن الثغرة
Thanks for sharing. I read many of your blog posts, cool, your blog is very good.
Thanks alot jhonathan