ترمیم شدن یک ضعف امنیتی در WordPress

هفته گذشته جزییات یک ضعف امنیتی از نوع تزریق کد (Cross-Site Scripting) در سامانه مدیریت محتوا WordPress بصورتی عمومی منتشر شد.

نفوذگر با سواستفاده از این ضعف امنیتی و با تزریق کد JavaScript مخرب در فرم های “نقطه نظرات” (Comment Form) که در میلیون ها وبلاگ در حال استفاده است، می تواند در هنگام نمایش آن توسط مدیر سیستم (Administrator)، کد مخرب را به اجرا در آورد. بدین ترتیب نفوذگر قادر به تغییر دادن گذرواژه مدیر سیستم، ایجاد کاربر جدید و بطور کلی اجرا کردن تمامی فرامینی است که مدیر سیستم دسترسی به آنها دارد.

نمونه ای از این نوع حمله در این ویدیو قابل مشاهده است.

دو روز بعد از انتشار خبر، WordPress، این ضعف امنیتی را با ارائه نگارش 4.2.1 ترمیم کرد.

با این حال، کارشناسی که این ضعف امنیتی را کشف کرده، اظهار داشته است که پیش از انتشار عمومی خبر این ضعف امنیتی، از نوامبر 2014، از راه های مختلف، وجود این ضعف امنیتی را به مسئولان WordPress  گزارش کرده اما پاسخی از این شرکت دریافت نکرده بوده است.

WordPress معروف ترین سامانه مدیریت محتوای وبلاگ ها بر روی اینترنت است.