ਇੱਕ ਮਿਲੀਅਨ ਤੋਂ ਵੱਧ ਸਥਾਪਨਾਵਾਂ ਦੇ ਨਾਲ ਨਿਣਜਾ ਫਾਰਮ ਵਰਡਪਰੈਸ ਪਲੱਗਇਨ ਦੁਆਰਾ ਸਿਸਟਮਾਂ 'ਤੇ ਹਮਲਾ

ਇੱਕ ਮਿਲੀਅਨ ਤੋਂ ਵੱਧ ਸਰਗਰਮ ਸਥਾਪਨਾਵਾਂ ਦੇ ਨਾਲ, ਨਿਨਜਾ ਫਾਰਮ ਵਰਡਪਰੈਸ ਐਡ-ਆਨ ਵਿੱਚ ਇੱਕ ਨਾਜ਼ੁਕ ਕਮਜ਼ੋਰੀ ਹੈ (CVE ਅਜੇ ਨਿਰਧਾਰਤ ਨਹੀਂ ਕੀਤਾ ਗਿਆ) ਜੋ ਕਿਸੇ ਬਾਹਰੀ ਵਿਜ਼ਟਰ ਨੂੰ ਸਾਈਟ ਦਾ ਪੂਰਾ ਨਿਯੰਤਰਣ ਲੈਣ ਦੀ ਆਗਿਆ ਦੇ ਸਕਦਾ ਹੈ। ਇਸ ਮੁੱਦੇ ਨੂੰ ਰੀਲੀਜ਼ 3.0.34.2, 3.1.10, 3.2.28, 3.3.21.4, 3.4.34.2, 3.5.8.4 ਅਤੇ 3.6.11 ਵਿੱਚ ਹੱਲ ਕੀਤਾ ਗਿਆ ਹੈ। ਇਹ ਨੋਟ ਕੀਤਾ ਗਿਆ ਹੈ ਕਿ ਹਮਲਿਆਂ ਨੂੰ ਅੰਜਾਮ ਦੇਣ ਅਤੇ ਤੁਰੰਤ ਸਮੱਸਿਆ ਨੂੰ ਰੋਕਣ ਲਈ ਕਮਜ਼ੋਰੀ ਦੀ ਵਰਤੋਂ ਕੀਤੀ ਜਾ ਰਹੀ ਹੈ, ਵਰਡਪਰੈਸ ਪਲੇਟਫਾਰਮ ਦੇ ਡਿਵੈਲਪਰਾਂ ਨੇ ਉਪਭੋਗਤਾ ਸਾਈਟਾਂ 'ਤੇ ਅਪਡੇਟਾਂ ਦੀ ਇੱਕ ਜ਼ਬਰਦਸਤੀ ਆਟੋਮੈਟਿਕ ਸਥਾਪਨਾ ਸ਼ੁਰੂ ਕੀਤੀ ਹੈ।

ਕਮਜ਼ੋਰੀ ਮਰਜ ਟੈਗਸ ਫੰਕਸ਼ਨੈਲਿਟੀ ਨੂੰ ਲਾਗੂ ਕਰਨ ਵਿੱਚ ਇੱਕ ਤਰੁੱਟੀ ਕਾਰਨ ਹੁੰਦੀ ਹੈ, ਜੋ ਕਿ ਅਣ-ਪ੍ਰਮਾਣਿਤ ਉਪਭੋਗਤਾਵਾਂ ਨੂੰ ਵੱਖ-ਵੱਖ ਨਿਨਜਾ ਫਾਰਮ ਕਲਾਸਾਂ (is_callable() ਫੰਕਸ਼ਨ ਦੁਆਰਾ ਪਾਸ ਕੀਤੇ ਗਏ ਡੇਟਾ ਵਿੱਚ ਤਰੀਕਿਆਂ ਦੇ ਜ਼ਿਕਰ ਦੀ ਜਾਂਚ ਕਰਨ ਲਈ ਕਾਲ ਕੀਤੀ ਗਈ ਸੀ ਤੋਂ ਕੁਝ ਸਥਿਰ ਤਰੀਕਿਆਂ ਨੂੰ ਕਾਲ ਕਰਨ ਦੀ ਆਗਿਆ ਦਿੰਦੀ ਹੈ। ਟੈਗਸ ਨੂੰ ਮਿਲਾਓ)। ਹੋਰ ਚੀਜ਼ਾਂ ਦੇ ਵਿੱਚ, ਇੱਕ ਵਿਧੀ ਨੂੰ ਕਾਲ ਕਰਨਾ ਸੰਭਵ ਸੀ ਜੋ ਉਪਭੋਗਤਾ ਦੁਆਰਾ ਪਾਸ ਕੀਤੀ ਸਮੱਗਰੀ ਦਾ ਡੀਸੀਰੀਅਲਾਈਜ਼ੇਸ਼ਨ ਕਰਦਾ ਹੈ। ਵਿਸ਼ੇਸ਼ ਤੌਰ 'ਤੇ ਫਾਰਮੈਟ ਕੀਤੇ ਸੀਰੀਅਲਾਈਜ਼ਡ ਡੇਟਾ ਦੇ ਤਬਾਦਲੇ ਦੁਆਰਾ, ਹਮਲਾਵਰ ਆਪਣੇ ਆਬਜੈਕਟਸ ਨੂੰ ਬਦਲ ਸਕਦਾ ਹੈ ਅਤੇ ਸਰਵਰ 'ਤੇ PHP ਕੋਡ ਦੇ ਐਗਜ਼ੀਕਿਊਸ਼ਨ ਨੂੰ ਪ੍ਰਾਪਤ ਕਰ ਸਕਦਾ ਹੈ ਜਾਂ ਸਾਈਟ ਡੇਟਾ ਡਾਇਰੈਕਟਰੀ ਵਿੱਚ ਆਰਬਿਟਰੇਰੀ ਫਾਈਲਾਂ ਨੂੰ ਮਿਟਾ ਸਕਦਾ ਹੈ।

ਸਰੋਤ: opennet.ru