تیم وردپرس نسخه ۷.۱.۴ را برای بستن بیش از ۱۰ حفره امنیتی منتشر کرد و از مدیران سایت‌ها خواست هرچه سریع‌تر آن را نصب کنند. عجیب‌ترین باگ این نسخه، ضعفی در خود فرایند به‌روزرسانی بود که می‌توانست در فاصله کوتاه اجرای آپدیت، به اجرای کد از راه دور روی سرور منجر شود. سوءاستفاده از این نقص به زمان‌بندی بسیار دقیقی نیاز داشت و تاکنون گزارشی از بهره‌برداری واقعی آن منتشر نشده است.
بیشتر اصلاحیه‌های این آپدیت، مربوط به باگ‌های تزریق کد (Stored XSS) در بخش‌های پرکاربرد سایت است. از بلوک‌های تصویر، فهرست دسته‌ها و صفحه‌بندی دیدگاه‌ها گرفته تا درخواست حذف اطلاعات و شناسه‌های ورود دست‌کاری‌شده. در این نوع حمله، کد مخرب در سایت باقی می‌ماند و ممکن است هنگام بازشدن بخش آسیب‌دیده در مرورگر مدیر یا کاربر دیگری اجرا شود؛ هرچند شرایط سوءاستفاده از هر مورد متفاوت است.
نکته جالب در گزارش رسمی وردپرس این است که دو مورد از این حفره‌ها را شرکت هوش مصنوعی «آنتروپیک» (سازنده هوش مصنوعی کلود) پیدا و گزارش کرده است. وردپرس همچنین فهرست گواهی‌های ریشه داخلی خود را پس از لغو اعتماد به گواهی eMudhra به‌روزرسانی کرده است.
این آپدیت امنیتی برای نسخه‌های قدیمی‌تر وردپرس هم منتشر شده و اگر آپدیت خودکار سایتتان روشن باشد، خودش در پس‌زمینه نصب می‌شود؛ اما بهتر است همین حالا سری به پیشخوان وردپرس بزنید و از بخش «به‌روزرسانی‌ها»، نصب شدن نسخه ۷.۱.۴ را به‌صورت دستی بررسی کنید.
آدرس مطلب: https://nooshdaroo.ir/news-opinion/wordpress-security-update-process-vulnerability/
