ورڈپریس ويب مواد مينيجمينٽ سسٽم لاء ٽي مشهور پلگ ان ۾، 400 هزار کان وڌيڪ تنصيب سان، :
- پلگ ان ۾ ، جنهن ۾ 300 هزار کان وڌيڪ فعال تنصيب آهن، توهان کي اجازت ڏئي ٿي ڳنڍڻ جي بغير ڪنهن سائيٽ جي ايڊمنسٽريٽر جي تصديق ڪرڻ جي. جيئن ته پلگ ان هڪ سرور تي ڪيترن ئي سائيٽن جي انتظام کي متحد ڪرڻ لاءِ ٺاهيو ويو آهي، هڪ حملو ڪندڙ هڪ ئي وقت ۾ InfiniteWP ڪلائنٽ استعمال ڪندي سڀني سائيٽن جو ڪنٽرول حاصل ڪري سگهي ٿو. حملو ڪرڻ لاءِ، اهو ڪافي آهي ته صارف جي لاگ ان کي ڄاڻڻ لاءِ ايڊمنسٽريٽر جي حقن سان، ۽ پوءِ موڪليو خاص طور تي ٺهيل پوسٽ درخواست ( parameter "add_site" يا "readd_site")، توھان داخل ڪري سگھوٿا مئنيجمينٽ انٽرفيس ھن صارف جي حقن سان. نقصان خودڪار لاگ ان فنڪشن جي عمل ۾ هڪ غلطي جي ڪري آهي.
مسئلو InfiniteWP ڪلائنٽ 1.9.4.5 جي ڇڏڻ ۾. - پلگ ان ۾ ، جيڪا لڳ ڀڳ 80 هزار سائيٽن تي استعمال ٿئي ٿي. پهريون نقصان توهان کي ڊيٽابيس ۾ ڪنهن به جدول جي مواد کي ري سيٽ ڪرڻ جي اجازت ڏئي ٿو بغير تصديق جي پاس ڪرڻ کان سواءِ ابتدائي حالت ۾ (نتيجي ۾ تازو ورڈپریس تنصيب جي حالت ۾، سائيٽ سان لاڳاپيل ڊيٽا کي حذف ڪرڻ). مسئلو هڪ غائب اجازت جي چڪاس جي سبب آهي جڏهن ري سيٽ فنڪشن کي عمل ڪندي.
WP Database Reset ۾ ٻئي خطري کي تصديق ٿيل رسائي جي ضرورت آهي (گهٽ ۾ گهٽ سبسڪرائبر جي حقن سان گڏ هڪ اڪائونٽ ڪافي آهي) ۽ توهان کي سائيٽ جي منتظم جي استحقاق حاصل ڪرڻ جي اجازت ڏئي ٿي (توهان wp_users ٽيبل مان سڀني صارفين کي حذف ڪري سگهو ٿا، جنهن کان پوء موجوده باقي استعمال ڪندڙ کي هڪ طور سمجهيو ويندو. منتظم). رليز 3.15 ۾ مسئلا حل ڪيا ويا.
- پلگ ان ۾ , جنهن ۾ 20 هزار کان وڌيڪ تنصيبات آهن، توهان کي اجازت ڏئي ٿي منتظم جي حقن سان ڳنڍڻ جي بغير تصديق جي. حملو ڪرڻ لاءِ، پوسٽ جي درخواست ۾ IWP_JSON_PREFIX لائن شامل ڪرڻ ڪافي آهي، ۽ جيڪڏهن موجود هجي ته، wptc_login_as_admin فنڪشن کي بغير ڪنهن چيڪ جي سڏيو ويندو آهي. مسئلو ڇڏڻ ۾ 1.21.16.
جو ذريعو: opennet.ru