3 ਮਿਲੀਅਨ ਸਥਾਪਨਾਵਾਂ ਦੇ ਨਾਲ UpdraftPlus ਵਰਡਪਰੈਸ ਐਡ-ਆਨ ਵਿੱਚ ਡੇਟਾਬੇਸ ਲੀਕ

UpdraftPlus ਵਰਡਪਰੈਸ ਐਡ-ਆਨ ਵਿੱਚ ਇੱਕ ਖ਼ਤਰਨਾਕ ਕਮਜ਼ੋਰੀ (CVE-3-2022) ਦੀ ਪਛਾਣ ਕੀਤੀ ਗਈ ਹੈ, ਜਿਸ ਵਿੱਚ 0633 ਮਿਲੀਅਨ ਤੋਂ ਵੱਧ ਸਰਗਰਮ ਸਥਾਪਨਾਵਾਂ ਹਨ, ਇੱਕ ਤੀਜੀ-ਧਿਰ ਉਪਭੋਗਤਾ ਨੂੰ ਸਾਈਟ ਦੇ ਡੇਟਾਬੇਸ ਦੀ ਇੱਕ ਕਾਪੀ ਡਾਊਨਲੋਡ ਕਰਨ ਦੀ ਇਜਾਜ਼ਤ ਦਿੰਦੀ ਹੈ, ਜੋ ਕਿ ਇਸ ਤੋਂ ਇਲਾਵਾ ਸਮੱਗਰੀ, ਸਾਰੇ ਉਪਭੋਗਤਾਵਾਂ ਅਤੇ ਪਾਸਵਰਡ ਹੈਸ਼ਾਂ ਦੇ ਮਾਪਦੰਡਾਂ ਨੂੰ ਸ਼ਾਮਲ ਕਰਦਾ ਹੈ। ਮਸਲਾ ਰੀਲੀਜ਼ 1.22.3 ਅਤੇ 2.22.3 ਵਿੱਚ ਹੱਲ ਕੀਤਾ ਗਿਆ ਹੈ, ਜੋ ਕਿ ਸਾਰੇ UpdraftPlus ਉਪਭੋਗਤਾਵਾਂ ਨੂੰ ਜਿੰਨੀ ਜਲਦੀ ਹੋ ਸਕੇ ਇੰਸਟਾਲ ਕਰਨ ਦੀ ਸਿਫਾਰਸ਼ ਕੀਤੀ ਜਾਂਦੀ ਹੈ।

UpdraftPlus ਨੂੰ ਵਰਡਪਰੈਸ ਪਲੇਟਫਾਰਮ 'ਤੇ ਚੱਲ ਰਹੀਆਂ ਸਾਈਟਾਂ ਦਾ ਬੈਕਅੱਪ ਬਣਾਉਣ ਲਈ ਸਭ ਤੋਂ ਪ੍ਰਸਿੱਧ ਐਡ-ਆਨ ਮੰਨਿਆ ਜਾਂਦਾ ਹੈ। ਐਕਸੈਸ ਅਧਿਕਾਰਾਂ ਦੀ ਗਲਤ ਜਾਂਚ ਦੇ ਕਾਰਨ, ਐਡ-ਆਨ ਨੇ ਸਾਈਟ ਦੀ ਬੈਕਅੱਪ ਕਾਪੀ ਅਤੇ ਸੰਬੰਧਿਤ ਡੇਟਾਬੇਸ ਨੂੰ ਨਾ ਸਿਰਫ਼ ਪ੍ਰਸ਼ਾਸਕਾਂ ਨੂੰ, ਸਗੋਂ ਸਾਈਟ 'ਤੇ ਰਜਿਸਟਰਡ ਕਿਸੇ ਵੀ ਉਪਭੋਗਤਾ ਨੂੰ ਵੀ ਡਾਊਨਲੋਡ ਕਰਨ ਦੀ ਇਜਾਜ਼ਤ ਦਿੱਤੀ, ਉਦਾਹਰਨ ਲਈ, ਗਾਹਕ ਸਥਿਤੀ ਦੇ ਨਾਲ।

UpdraftPlus ਵਿੱਚ ਬੈਕਅੱਪ ਲੋਡ ਕਰਨ ਲਈ, ਇੱਕ ਪਛਾਣਕਰਤਾ ਦੀ ਵਰਤੋਂ ਕੀਤੀ ਜਾਂਦੀ ਹੈ ਜੋ ਬੈਕਅੱਪ ਬਣਾਏ ਜਾਣ ਦੇ ਸਮੇਂ ਅਤੇ ਇੱਕ ਬੇਤਰਤੀਬ ਕ੍ਰਮ (ਨਾਨ) ਦੇ ਆਧਾਰ 'ਤੇ ਤਿਆਰ ਕੀਤਾ ਜਾਂਦਾ ਹੈ। ਸਮੱਸਿਆ ਇਹ ਹੈ ਕਿ ਵਰਡਪਰੈਸ ਹਾਰਟਬੀਟ ਬੇਨਤੀ ਹੈਂਡਲਰ ਵਿੱਚ ਸਹੀ ਜਾਂਚਾਂ ਦੀ ਘਾਟ ਕਾਰਨ, ਖਾਸ ਤੌਰ 'ਤੇ ਤਿਆਰ ਕੀਤੀ ਗਈ ਬੇਨਤੀ ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹੋਏ, ਕੋਈ ਵੀ ਉਪਭੋਗਤਾ ਨਵੀਨਤਮ ਬੈਕਅੱਪ ਬਾਰੇ ਜਾਣਕਾਰੀ ਪ੍ਰਾਪਤ ਕਰ ਸਕਦਾ ਹੈ, ਜਿਸ ਵਿੱਚ ਸਮੇਂ ਅਤੇ ਸੰਬੰਧਿਤ ਬੇਤਰਤੀਬੇ ਕ੍ਰਮ ਬਾਰੇ ਵੀ ਜਾਣਕਾਰੀ ਸ਼ਾਮਲ ਹੁੰਦੀ ਹੈ।

ਅੱਗੇ, ਪ੍ਰਾਪਤ ਜਾਣਕਾਰੀ ਦੇ ਆਧਾਰ 'ਤੇ, ਤੁਸੀਂ ਇੱਕ ਪਛਾਣਕਰਤਾ ਬਣਾ ਸਕਦੇ ਹੋ ਅਤੇ ਈਮੇਲ ਦੁਆਰਾ ਡਾਉਨਲੋਡ ਵਿਧੀ ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਇੱਕ ਬੈਕਅੱਪ ਕਾਪੀ ਡਾਊਨਲੋਡ ਕਰ ਸਕਦੇ ਹੋ। ਇਸ ਵਿਧੀ ਵਿੱਚ ਵਰਤੇ ਗਏ maybe_download_backup_from_email ਫੰਕਸ਼ਨ ਲਈ options-general.php ਪੰਨੇ ਤੱਕ ਪਹੁੰਚ ਦੀ ਲੋੜ ਹੁੰਦੀ ਹੈ, ਜੋ ਸਿਰਫ਼ ਪ੍ਰਬੰਧਕ ਲਈ ਪਹੁੰਚਯੋਗ ਹੈ। ਹਾਲਾਂਕਿ, ਇੱਕ ਹਮਲਾਵਰ ਚੈਕ ਵਿੱਚ ਵਰਤੇ ਗਏ $pagenow ਵੇਰੀਏਬਲ ਨੂੰ ਸਪੂਫ ਕਰਕੇ ਅਤੇ ਇੱਕ ਸੇਵਾ ਪੰਨੇ ਦੁਆਰਾ ਇੱਕ ਬੇਨਤੀ ਭੇਜ ਕੇ ਇਸ ਪਾਬੰਦੀ ਨੂੰ ਬਾਈਪਾਸ ਕਰ ਸਕਦਾ ਹੈ ਜੋ ਗੈਰ-ਅਧਿਕਾਰਤ ਉਪਭੋਗਤਾਵਾਂ ਦੁਆਰਾ ਪਹੁੰਚ ਦੀ ਆਗਿਆ ਦਿੰਦਾ ਹੈ। ਉਦਾਹਰਨ ਲਈ, ਤੁਸੀਂ “wp-admin/admin-post.php/%0A/wp-admin/options-general.php?page=updraftplus ਫਾਰਮ ਵਿੱਚ ਇੱਕ ਬੇਨਤੀ ਭੇਜ ਕੇ ਪ੍ਰਸ਼ਾਸਕ ਨੂੰ ਸੁਨੇਹਾ ਭੇਜਣ ਲਈ ਪੰਨੇ ਰਾਹੀਂ ਸੰਪਰਕ ਕਰ ਸਕਦੇ ਹੋ। ".

ਸਰੋਤ: opennet.ru