ការលេចធ្លាយមូលដ្ឋានទិន្នន័យនៅក្នុង UpdraftPlus WordPress add-on ជាមួយនឹងការដំឡើងចំនួន 3 លាន

ភាពងាយរងគ្រោះដ៏គ្រោះថ្នាក់ (CVE-3-2022) ត្រូវបានកំណត់អត្តសញ្ញាណនៅក្នុងកម្មវិធី UpdraftPlus WordPress add-on ដែលមានការដំឡើងសកម្មជាង 0633 លាន ដែលអនុញ្ញាតឱ្យអ្នកប្រើប្រាស់ភាគីទីបីទាញយកច្បាប់ចម្លងនៃមូលដ្ឋានទិន្នន័យរបស់គេហទំព័រ ដែលបន្ថែមពីលើ មាតិកា មានប៉ារ៉ាម៉ែត្រនៃអ្នកប្រើប្រាស់ទាំងអស់ និងលេខសម្ងាត់។ បញ្ហាត្រូវបានដោះស្រាយនៅក្នុងការចេញផ្សាយ 1.22.3 និង 2.22.3 ដែលត្រូវបានណែនាំសម្រាប់អ្នកប្រើប្រាស់ UpdraftPlus ទាំងអស់ដើម្បីដំឡើងឱ្យបានឆាប់តាមដែលអាចធ្វើទៅបាន។

UpdraftPlus ត្រូវបានចាត់ទុកថាជាកម្មវិធីបន្ថែមដ៏ពេញនិយមបំផុតសម្រាប់បង្កើតការបម្រុងទុកនៃគេហទំព័រដែលកំពុងដំណើរការនៅលើវេទិកា WordPress ។ ដោយសារតែការត្រួតពិនិត្យសិទ្ធិចូលប្រើមិនត្រឹមត្រូវ កម្មវិធីបន្ថែមបានអនុញ្ញាតឱ្យទាញយកច្បាប់ចម្លងបម្រុងទុកនៃគេហទំព័រ និងមូលដ្ឋានទិន្នន័យដែលពាក់ព័ន្ធមិនត្រឹមតែចំពោះអ្នកគ្រប់គ្រងប៉ុណ្ណោះទេ ប៉ុន្តែក៏មានអ្នកប្រើប្រាស់ដែលបានចុះឈ្មោះនៅលើគេហទំព័រផងដែរ ឧទាហរណ៍ជាមួយនឹងស្ថានភាពអ្នកជាវ។

ដើម្បីផ្ទុកការបម្រុងទុកទៅក្នុង UpdraftPlus ឧបករណ៍កំណត់អត្តសញ្ញាណត្រូវបានប្រើដែលត្រូវបានបង្កើតដោយផ្អែកលើពេលវេលាដែលការបម្រុងទុកត្រូវបានបង្កើត និងលំដាប់ចៃដន្យ (មិនមែន)។ បញ្ហាគឺថាដោយសារតែខ្វះការត្រួតពិនិត្យត្រឹមត្រូវនៅក្នុងកម្មវិធីដោះស្រាយសំណើចង្វាក់បេះដូងរបស់ WordPress ដោយប្រើសំណើដែលបានរចនាឡើងយ៉ាងពិសេស អ្នកប្រើប្រាស់ណាមួយអាចទទួលបានព័ត៌មានអំពីការបម្រុងទុកចុងក្រោយបង្អស់ ដែលរួមបញ្ចូលព័ត៌មានអំពីពេលវេលា និងលំដាប់ចៃដន្យដែលពាក់ព័ន្ធផងដែរ។

បន្ទាប់មក ដោយផ្អែកលើព័ត៌មានដែលទទួលបាន អ្នកអាចបង្កើតឧបករណ៍កំណត់អត្តសញ្ញាណ និងទាញយកច្បាប់ចម្លងបម្រុងទុកដោយប្រើវិធីសាស្ត្រទាញយកតាមអ៊ីមែល។ មុខងារ maybe_download_backup_from_email ដែលប្រើក្នុងវិធីនេះទាមទារការចូលទៅកាន់ទំព័រ options-general.php ដែលអាចចូលប្រើបានតែអ្នកគ្រប់គ្រងប៉ុណ្ណោះ។ ទោះជាយ៉ាងណាក៏ដោយ អ្នកវាយប្រហារអាចរំលងការរឹតបន្តឹងនេះដោយការក្លែងបន្លំអថេរ $pagenow ដែលប្រើក្នុងការត្រួតពិនិត្យ និងផ្ញើសំណើតាមរយៈទំព័រសេវាកម្មដែលអនុញ្ញាតឱ្យចូលប្រើដោយអ្នកប្រើប្រាស់ដែលគ្មានសិទ្ធិ។ ឧទាហរណ៍ អ្នកអាចទាក់ទងតាមរយៈទំព័រសម្រាប់ការផ្ញើសារទៅកាន់អ្នកគ្រប់គ្រងដោយផ្ញើសំណើក្នុងទម្រង់ “wp-admin/admin-post.php/%0A/wp-admin/options-general.php?page=updraftplus ”។

ប្រភព: opennet.ru