تم الكشف اليوم عن أن نموذج الاتصال الشهير في WordPress والمسمى Ninja Forms قد أصلح نقطتين من نقاط الضعف ، مما أثر على أكثر من مليون تثبيت WordPress. يمثل هذا نقطة أخرى في قائمة متزايدة من ثغرات REST API التي تم اكتشافها بين العديد من مكونات WordPress الإضافية.
يجب التأكيد على أنه لا يوجد خطأ في WordPress REST API نفسها. تنبع المشكلات من الطريقة التي تصمم بها مكونات WordPress تفاعلاتها مع واجهة برمجة تطبيقات REST.
WordPress REST API
واجهة برمجة تطبيقات WordPress REST هي واجهة تسمح للمكونات الإضافية بالتفاعل مع نواة WordPress. تسمح واجهة برمجة تطبيقات REST للمكونات الإضافية والسمات والتطبيقات الأخرى بمعالجة محتوى WordPress وإنشاء ميزات تفاعلية.
دعاية
أكمل القراءة أدناه
توسع هذه التقنية ما يمكن أن يفعله نواة WordPress.
يتلقى جوهر WordPress البيانات من خلال واجهة برمجة تطبيقات REST للمكونات الإضافية من أجل إنجاز هذه التجارب الجديدة.
ومع ذلك ، مثل أي تفاعل آخر يسمح بتحميل البيانات أو إدخالها ، من المهم “تعقيم” ما تم إدخاله ومن يمكنه الدخول ، للتأكد من أن البيانات هي ما هو متوقع ومصمم ليتم تلقيه.
يمكن أن يؤدي الفشل في تطهير الإدخالات وتقييد من يمكنه إدخال البيانات إلى حدوث ثغرات أمنية.
وهذا بالضبط ما حدث هنا.
إذن استدعاء الضعف
كانت كلتا الثغرات الأمنية نتيجة لمشكلة تحقق واحدة من REST API ، لا سيما في عمليات رد نداء الأذونات.
دعاية
أكمل القراءة أدناه
يعد استدعاء التفويض جزءًا من عملية المصادقة التي تقيد الوصول إلى نقاط نهاية REST API للمستخدمين المصرح لهم.
وثائق ووردبريس الرسمية يصف نقطة نهاية كدالة:
“نقاط النهاية هي وظائف متاحة من خلال واجهة برمجة التطبيقات. قد تكون هذه أشياء مثل جلب فهرس واجهة برمجة التطبيقات أو تحديث منشور أو حذف تعليق. تؤدي نقاط النهاية وظيفة محددة ، وتأخذ عددًا من المعلمات ، وتعيد البيانات إلى العميل.
“استدعاءات التفويض مهمة للغاية للأمان باستخدام واجهة برمجة تطبيقات WordPress REST.
إذا كانت لديك بيانات خاصة لا ينبغي عرضها علنًا ، فيجب عليك تسجيل تذكيرات الأذونات لنقاط النهاية الخاصة بك.
نقطتان من نقاط الضعف في نماذج WordPress Ninja
كان هناك نوعان من الثغرات الأمنية التي كانت مرتبطة بخطأ في استدعاء الأذونات أثناء التنفيذ.
لا يوجد شيء خاطئ في WordPress REST API نفسها ، ولكن الطريقة التي يطبقها صانعو المكونات الإضافية يمكن أن تسبب مشاكل.
فيما يلي نقطتا الضعف:
- إفشاء المعلومات الحساسة
- واجهة برمجة تطبيقات REST غير المحمية لإرسال البريد الإلكتروني للحقن
ضعف الكشف عن المعلومات الحساسة
سمحت ثغرة الكشف عن المعلومات الحساسة لأي مستخدم مسجل ، حتى المشترك ، بتصدير أي نماذج سبق تقديمها إلى الموقع. يتضمن هذا أي معلومات سرية قد يكون قد قدمها شخص ما.
دعاية
أكمل القراءة أدناه
لدى Ninja Forms تذكير أذونات يتحقق مما إذا كان المستخدم مسجلاً ، لكنه لم يتحقق مما إذا كان لدى المستخدم مستوى إذن مناسب لإجراء تصدير جماعي لجميع النماذج المقدمة من خلال البرنامج المساعد WordPress Ninja.
هذا الإخفاق في التحقق من مستوى إذن المستخدم هو ما سمح لأي مستخدم مسجل ، بما في ذلك المشترك في موقع الويب ، بإجراء تصدير جماعي لجميع النماذج المقدمة.
واجهة برمجة تطبيقات REST غير المحمية لإدخال البريد الإلكتروني
نتجت مشكلة عدم الحصانة هذه عن نفس إعادة اتصال الأذونات المعيبة التي فشلت في التحقق من مستوى الإذن للمهاجم المسجل. استفادت الثغرة الأمنية من ميزة Ninja Forms التي تسمح لناشري مواقع الويب بإرسال إعلامات بريد إلكتروني مجمعة أو تأكيدات عبر البريد الإلكتروني ردًا على عمليات إرسال النماذج.
دعاية
أكمل القراءة أدناه
سمحت الثغرة الأمنية بحقن البريد الإلكتروني للمهاجم باستخدام هذه الميزة المحددة لـ Ninja Forms لإرسال رسائل البريد الإلكتروني من موقع الويب الضعيف إلى أي عنوان بريد إلكتروني.
كان لهذه الثغرة الأمنية القدرة على بدء حملة استيلاء كاملة على موقع أو حملة تصيد احتيالي ضد عملاء موقع ويب.
وفقًا لباحثي Wordfence الأمني الذين اكتشفوا الثغرة الأمنية:
“يمكن استخدام هذه الثغرة الأمنية بسهولة لإنشاء حملة تصيد احتيالي يمكن أن تخدع المستخدمين المطمئنين لاتخاذ إجراءات غير مرغوب فيها عن طريق إساءة استخدام الثقة في المجال المستخدم لإرسال البريد الإلكتروني.
بالإضافة إلى ذلك ، يمكن استخدام هجوم تصيد احتيالي أكثر استهدافًا لخداع مالك الموقع للاعتقاد بأن بريدًا إلكترونيًا من موقعه الخاص.
يمكن استخدام هذا لخداع المسؤول لإدخال كلمة المرور الخاصة به على صفحة تسجيل دخول مزيفة ، أو السماح للمهاجمين بالاستفادة من ثغرة أمنية ثانية تتطلب هندسة اجتماعية ، مثل Cross-Site Request Forgery أو Cross-Site. تستخدم. لاستعادة الموقع.
دعاية
أكمل القراءة أدناه
التحديث الفوري لنماذج النينجا الموصى بها
الباحثون الأمنيون هم Wordfence يوصون بأن يقوم مستخدمو المكون الإضافي WordPress Ninja Forms بتحديث المكون الإضافي الخاص بهم على الفور.
يتم تصنيف الثغرة الأمنية على أنها متوسطة الخطورة ، مع تصنيف 6.5 على مقياس من 1 إلى 10.
يقتبس
اقرأ إعلان Wordfence:
الثغرات التي تم إصلاحها مؤخرًا في برنامج Ninja Forms Plugin تؤثر على أكثر من مليون من مالكي المواقع
تعليقات
إرسال تعليق