ثغرة زيرو داي مصاب بها نصف مليون موقع ووردبرس

ثغرة زيرو داي مصاب بها نصف مليون موقع ووردبرس

تم إكتشاف ثغرة في أحد المكونات الإضافية لمواقع ووردبرس، تتيح إعادة تعيين كلمة المرور لحساب المسؤول عن الموقع.

ثغرة الزيرو داي يتأثر بها المكون الإضافي Easy WP SMTP الذي يتيح لمالكي المواقع تكوين إعدادات SMTP لرسائل البريد الإلكتروني الصادرة لموقعهم على الويب، وهذا المكون الإضافي مثبت على أكثر من نصف مليون موقع.

وفقًا للفريق التقني في NinTechNet فإن الإصدار Easy WP SMTP 1.4.2 والإصدارات الأقدم من المكون الإضافي تحتوي على ميزة تنشئ سجلات تصحيح الأخطاء لجميع رسائل البريد الإلكتروني التي يرسلها الموقع ، والتي يخزنها بعد ذلك في مجلد التثبيت الخاص به.

ولا يحتوي مجلد البرنامج المساعد على أي ملف index.html ، وبالتالي على الخوادم التي تم تمكين قائمة الدليل بها ، يمكن للمتسللين العثور على السجل وعرضه. 

نظرًا لأن إعادة تعيين كلمة المرور تتضمن إرسال بريد إلكتروني مع رابط إعادة تعيين كلمة المرور إلى حساب المسؤول ، يتم أيضًا تسجيل هذا البريد الإلكتروني في سجل تصحيح Easy WP SMTP.

كل ما يتعين على المهاجمين فعله هو الوصول إلى سجل التصحيح بعد إعادة تعيين كلمة المرور ، والاستيلاء على رابط إعادة التعيين ، والاستيلاء على حساب مسؤول الموقع.

قام مطورو المكون الإضافي بإصلاح هذه المشكلة عن طريق نقل سجل تصحيح المكوّن الإضافي إلى مجلد سجلات ووردبرس ، حيث يكون محميًا بشكل أفضل، في الإصدار Easy WP SMTP 1.4.4 .

مقارنة بالثغرة التي وجدت في نفس المكون شهر مارس 2019 ، اليوم تلقى WordPress CMS وظيفة تحديث تلقائي مضمنة للقوالب والمكونات الإضافية.

تمت إضافته في أغسطس 2020 مع إصدار ووردبرس 5.5 ، إذا تم تمكينه ستسمح هذه الميزة بتشغيل المكونات الإضافية دائمًا على أحدث إصدار عن طريق التحديث التلقائي