ستساعدك المقالة التالية: ثغرة أمنية في مكون WordPress Elementor الإضافي لتنفيذ التعليمات البرمجية عن بعد
تم اكتشاف ثغرة أمنية في Elementor، بدءًا من الإصدار 3.6.0، والتي تسمح للمهاجم بتحميل تعليمات برمجية عشوائية وتنفيذ عملية استحواذ كاملة على الموقع. تم تقديم الخلل بسبب عدم وجود سياسات أمنية مناسبة في ميزة معالج “Onboarding” الجديدة.
اختبارات القدرة المفقودة
كان الخلل في Elementor مرتبطًا بما يعرف بفحص القدرة.
يعد فحص القدرة بمثابة طبقة أمان يتعين على جميع صانعي المكونات الإضافية تشفيرها. ما يفعله فحص القدرة هو التحقق من مستوى الإذن الذي يتمتع به أي مستخدم قام بتسجيل الدخول.
على سبيل المثال، قد يتمكن شخص لديه إذن مستوى المشترك من إرسال تعليقات على المقالات، لكن لن يكون لديه مستويات الأذونات التي تمنحه الوصول إلى شاشة تحرير WordPress لنشر المنشورات على الموقع.
يمكن أن تكون أدوار المستخدم مسؤولاً، أو محررًا، أو مشتركًا، وما إلى ذلك، حيث يحتوي كل مستوى على قدرات المستخدم التي تم تعيينها لكل دور مستخدم.
عندما يقوم مكون إضافي بتشغيل تعليمات برمجية، فمن المفترض التحقق مما إذا كان المستخدم لديه القدرة الكافية لتنفيذ هذا الرمز.
نشر WordPress دليل المكونات الإضافية الذي يتناول هذا الفحص الأمني المهم على وجه التحديد.
ويسمى الفصل، التحقق من قدرات المستخدم ويوضح ما يحتاج صانعو المكونات الإضافية إلى معرفته حول هذا النوع من فحص الأمان.
ينصح كتيب WordPress بما يلي:
“التحقق من قدرات المستخدم
إذا كان المكون الإضافي الخاص بك يسمح للمستخدمين بإرسال البيانات – سواء كان ذلك على الجانب الإداري أو الجانب العام – فيجب عليه التحقق من قدرات المستخدم.
…الخطوة الأكثر أهمية في إنشاء طبقة أمان فعالة هي وجود نظام أذونات المستخدم. يوفر WordPress ذلك في شكل أدوار المستخدم وقدراته.
قدم الإصدار 3.6.0 من Elementor وحدة نمطية جديدة (وحدة Onboarding) التي فشلت في تضمين اختبارات القدرات.
لذا فإن مشكلة Elementor لا تكمن في أن المتسللين كانوا أذكياء واكتشفوا طريقة للقيام بالاستيلاء الكامل على مواقع الويب المستندة إلى Elementor.
كان الاستغلال في Elementor بسبب الفشل في استخدام اختبارات القدرات حيث كان من المفترض أن يفعلوا ذلك.
وفقًا للتقرير الذي نشره موقع Wordfence:
“لسوء الحظ لم يتم استخدام أي اختبارات للقدرة في الإصدارات الضعيفة.
يمكن للمهاجم إنشاء ملف مضغوط إضافي ضار “Elementor Pro” واستخدام هذه الوظيفة لتثبيته.
سيتم تنفيذ أي تعليمات برمجية موجودة في البرنامج الإضافي المزيف، والتي يمكن استخدامها للسيطرة على الموقع أو الوصول إلى موارد إضافية على الخادم.
الإجراء الموصى به
تم تقديم الثغرة الأمنية في الإصدار 3.6.0 من Elementor، وبالتالي فهي غير موجودة في الإصدارات السابقة لذلك.
يوصي Wordfence الناشرين بالتحديث إلى الإصدار 3.6.3.
ومع ذلك، المسؤول سجل التغيير العنصري ينص على أن الإصدار 3.6.4 يعمل على إصلاح مشكلات التطهير المتعلقة بوحدة معالج Onboarding المتأثرة.
لذلك ربما يكون التحديث إلى Elementor 3.6.4 فكرة جيدة.
لقطة شاشة لتغيير البرنامج المساعد لـ Elementor WordPress
الاقتباس
اقرأ تقرير Wordfence حول ثغرة Elementor
ثغرة أمنية خطيرة في تنفيذ التعليمات البرمجية عن بعد في Elementor
