بواسطة: The hacker news

تم الكشف عن خلل أمني شديد الخطورة في مكون WordPress GiveWP للتبرعات وجمع التبرعات والذي يعرض أكثر من 100000 موقع ويب لهجمات تنفيذ التعليمات البرمجية عن بعد.

يؤثر الخلل، المسمى CVE-2024-5932 (درجة CVSS: 10.0)، على جميع إصدارات البرنامج المساعد قبل الإصدار 3.14.2، الذي تم إصداره في 7 أغسطس 2024. وقد تم نسب الفضل إلى باحث أمني، يستخدم الاسم المستعار عبر الإنترنت villu164، في اكتشاف المشكلة والإبلاغ عنها.

قالت شركة Wordfence في تقرير لها هذا الأسبوع إن البرنامج المساعد "عُرضة لـ حقن كائانت بي إتش بي PHP Object Injection في جميع الإصدارات حتى الإصدار 3.14.1، من خلال إلغاء تسلسل المدخلات غير الموثوقة من معلمة 'give_title'".

"يسمح هذا للمهاجمين غير المعتمدين بحقن كائن PHP. ويتيح التواجد الإضافي لسلسلة POP للمهاجمين تنفيذ التعليمات البرمجية عن بُعد وحذف ملفات عشوائية."

تكمن الثغرة الأمنية في وظيفة تسمى "give_process_donation_form()"، والتي تُستخدم للتحقق من صحة بيانات النموذج المُدخلة وتطهيرها، قبل تمرير معلومات التبرع، بما في ذلك تفاصيل الدفع، إلى البوابة المحددة.

إن الاستغلال الناجح للخلل قد يسمح لممثل التهديد المعتمد بتنفيذ تعليمات برمجية ضارة على الخادم، مما يجعل من الضروري أن يتخذ المستخدمون خطوات لتحديث مثيلاتهم إلى الإصدار الأحدث.

في النهاية، يعد الالتزام بالمكونات الإضافية المشروعة جزءًا أساسيًا من إدارة موقع الويب المسؤولة، ولا ينبغي المساس بالأمان مطلقًا من أجل اختصار الطريق"، كما قال Sucuri.