400 ਹਜ਼ਾਰ ਤੋਂ ਵੱਧ ਸਥਾਪਨਾਵਾਂ ਦੇ ਨਾਲ ਵਰਡਪਰੈਸ ਪਲੱਗਇਨਾਂ ਵਿੱਚ ਗੰਭੀਰ ਕਮਜ਼ੋਰੀਆਂ

ਵਰਡਪਰੈਸ ਵੈਬ ਸਮੱਗਰੀ ਪ੍ਰਬੰਧਨ ਪ੍ਰਣਾਲੀ ਲਈ ਤਿੰਨ ਪ੍ਰਸਿੱਧ ਪਲੱਗਇਨਾਂ ਵਿੱਚ, 400 ਹਜ਼ਾਰ ਤੋਂ ਵੱਧ ਸਥਾਪਨਾਵਾਂ ਦੇ ਨਾਲ, ਪ੍ਰਗਟ ਕੀਤਾ ਗੰਭੀਰ ਕਮਜ਼ੋਰੀਆਂ:

• ਕਮਜ਼ੋਰੀ ਪਲੱਗਇਨ ਵਿੱਚ InfiniteWP ਕਲਾਇੰਟ, ਜਿਸ ਵਿੱਚ 300 ਹਜ਼ਾਰ ਤੋਂ ਵੱਧ ਸਰਗਰਮ ਸਥਾਪਨਾਵਾਂ ਹਨ, ਤੁਹਾਨੂੰ ਸਾਈਟ ਪ੍ਰਸ਼ਾਸਕ ਵਜੋਂ ਪ੍ਰਮਾਣਿਤ ਕੀਤੇ ਬਿਨਾਂ ਕਨੈਕਟ ਕਰਨ ਦੀ ਆਗਿਆ ਦਿੰਦੀਆਂ ਹਨ। ਕਿਉਂਕਿ ਪਲੱਗਇਨ ਨੂੰ ਇੱਕ ਸਰਵਰ 'ਤੇ ਕਈ ਸਾਈਟਾਂ ਦੇ ਪ੍ਰਬੰਧਨ ਨੂੰ ਇਕਜੁੱਟ ਕਰਨ ਲਈ ਤਿਆਰ ਕੀਤਾ ਗਿਆ ਹੈ, ਇੱਕ ਹਮਲਾਵਰ ਇੱਕ ਵਾਰ ਵਿੱਚ InfiniteWP ਕਲਾਇੰਟ ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹੋਏ ਸਾਰੀਆਂ ਸਾਈਟਾਂ ਦਾ ਨਿਯੰਤਰਣ ਪ੍ਰਾਪਤ ਕਰ ਸਕਦਾ ਹੈ। ਹਮਲਾ ਕਰਨ ਲਈ, ਪ੍ਰਸ਼ਾਸਕ ਦੇ ਅਧਿਕਾਰਾਂ ਵਾਲੇ ਉਪਭੋਗਤਾ ਦੇ ਲੌਗਇਨ ਨੂੰ ਜਾਣਨਾ ਕਾਫ਼ੀ ਹੈ, ਅਤੇ ਫਿਰ ਵਿਸ਼ੇਸ਼ ਤੌਰ 'ਤੇ ਤਿਆਰ ਕੀਤੀ ਗਈ POST ਬੇਨਤੀ ਭੇਜੋ (ਦਰਸਾਉਂਦਾ ਹੈ ਪੈਰਾਮੀਟਰ “add_site” ਜਾਂ “readd_site”), ਤੁਸੀਂ ਇਸ ਉਪਭੋਗਤਾ ਦੇ ਅਧਿਕਾਰਾਂ ਨਾਲ ਪ੍ਰਬੰਧਨ ਇੰਟਰਫੇਸ ਦਰਜ ਕਰ ਸਕਦੇ ਹੋ। ਕਮਜ਼ੋਰੀ ਆਟੋਮੈਟਿਕ ਲੌਗਇਨ ਫੰਕਸ਼ਨ ਨੂੰ ਲਾਗੂ ਕਰਨ ਵਿੱਚ ਇੱਕ ਤਰੁੱਟੀ ਕਾਰਨ ਹੁੰਦੀ ਹੈ।
  ਸਮੱਸਿਆ ਖਤਮ ਕੀਤਾ InfiniteWP ਕਲਾਇੰਟ 1.9.4.5 ਦੇ ਰੀਲੀਜ਼ ਵਿੱਚ।

• ਦੋ ਕਮਜ਼ੋਰੀਆਂ ਪਲੱਗਇਨ ਵਿੱਚ WP ਡਾਟਾਬੇਸ ਰੀਸੈਟ, ਜਿਸਦੀ ਵਰਤੋਂ ਲਗਭਗ 80 ਹਜ਼ਾਰ ਸਾਈਟਾਂ 'ਤੇ ਕੀਤੀ ਜਾਂਦੀ ਹੈ। ਪਹਿਲੀ ਕਮਜ਼ੋਰੀ ਤੁਹਾਨੂੰ ਪ੍ਰਮਾਣਿਕਤਾ ਪਾਸ ਕੀਤੇ ਬਿਨਾਂ ਡੇਟਾਬੇਸ ਵਿੱਚ ਕਿਸੇ ਵੀ ਟੇਬਲ ਦੀ ਸਮੱਗਰੀ ਨੂੰ ਸ਼ੁਰੂਆਤੀ ਸਥਿਤੀ ਵਿੱਚ ਰੀਸੈਟ ਕਰਨ ਦੀ ਆਗਿਆ ਦਿੰਦੀ ਹੈ (ਨਤੀਜੇ ਵਜੋਂ ਇੱਕ ਤਾਜ਼ਾ ਵਰਡਪਰੈਸ ਸਥਾਪਨਾ ਦੀ ਸਥਿਤੀ, ਸਾਈਟ ਨਾਲ ਜੁੜੇ ਡੇਟਾ ਨੂੰ ਮਿਟਾਉਣਾ)। ਸਮੱਸਿਆ ਰੀਸੈਟ ਫੰਕਸ਼ਨ ਨੂੰ ਚਲਾਉਣ ਵੇਲੇ ਗੁੰਮ ਅਨੁਮਤੀ ਜਾਂਚ ਦੇ ਕਾਰਨ ਹੁੰਦੀ ਹੈ।

  WP ਡੇਟਾਬੇਸ ਰੀਸੈਟ ਵਿੱਚ ਦੂਜੀ ਕਮਜ਼ੋਰੀ ਲਈ ਪ੍ਰਮਾਣਿਤ ਪਹੁੰਚ ਦੀ ਲੋੜ ਹੁੰਦੀ ਹੈ (ਘੱਟੋ-ਘੱਟ ਗਾਹਕ ਅਧਿਕਾਰਾਂ ਵਾਲਾ ਇੱਕ ਖਾਤਾ ਕਾਫ਼ੀ ਹੈ) ਅਤੇ ਤੁਹਾਨੂੰ ਸਾਈਟ ਪ੍ਰਸ਼ਾਸਕ ਦੇ ਵਿਸ਼ੇਸ਼ ਅਧਿਕਾਰ ਪ੍ਰਾਪਤ ਕਰਨ ਦੀ ਇਜਾਜ਼ਤ ਦਿੰਦਾ ਹੈ (ਤੁਸੀਂ wp_users ਟੇਬਲ ਤੋਂ ਸਾਰੇ ਉਪਭੋਗਤਾਵਾਂ ਨੂੰ ਮਿਟਾ ਸਕਦੇ ਹੋ, ਜਿਸ ਤੋਂ ਬਾਅਦ ਮੌਜੂਦਾ ਬਚੇ ਉਪਭੋਗਤਾ ਨੂੰ ਇੱਕ ਮੰਨਿਆ ਜਾਵੇਗਾ। ਪ੍ਰਬੰਧਕ). ਰੀਲੀਜ਼ 3.15 ਵਿੱਚ ਹੱਲ ਕੀਤੇ ਗਏ ਮੁੱਦੇ।

• ਕਮਜ਼ੋਰੀ ਪਲੱਗਇਨ ਵਿੱਚ ਡਬਲਯੂਪੀ ਟਾਈਮ ਕੈਪਸੂਲ, ਜਿਸ ਵਿੱਚ 20 ਹਜ਼ਾਰ ਤੋਂ ਵੱਧ ਸਥਾਪਨਾਵਾਂ ਹਨ, ਤੁਹਾਨੂੰ ਪ੍ਰਮਾਣਿਕਤਾ ਤੋਂ ਬਿਨਾਂ ਪ੍ਰਬੰਧਕ ਅਧਿਕਾਰਾਂ ਨਾਲ ਜੁੜਨ ਦੀ ਆਗਿਆ ਦਿੰਦੀਆਂ ਹਨ। ਹਮਲਾ ਕਰਨ ਲਈ, POST ਬੇਨਤੀ ਵਿੱਚ ਲਾਈਨ IWP_JSON_PREFIX ਜੋੜਨਾ ਕਾਫ਼ੀ ਹੈ, ਅਤੇ ਜੇਕਰ ਮੌਜੂਦ ਹੈ, ਤਾਂ wptc_login_as_admin ਫੰਕਸ਼ਨ ਨੂੰ ਬਿਨਾਂ ਕਿਸੇ ਜਾਂਚ ਦੇ ਬੁਲਾਇਆ ਜਾਂਦਾ ਹੈ। ਸਮੱਸਿਆ ਖਤਮ ਕੀਤਾ ਰੀਲੀਜ਼ 1.21.16 ਵਿੱਚ.
  

ਸਰੋਤ: opennet.ru